JWT 리프레쉬 토큰 발급 관련 일반로그인, Oauth 로그인 충돌 문제

Question

안녕하세요. 취준생인데 부족한 실력 탓에 물어볼 곳이 마땅치 않고 혼자서는 도무지 답이 나오지 않아 질문 글 올려봅니다..매 요청마다 filterChain에 임의로 등록한 JWTCheckFilter 에서 Header-Authorization-AccessToken 을 추출해 검증하고accesToken 만료시 서버로 부터 ERROR_ACCESS_TOKEN 응답 받으면 다시 클라이언트 쪽에서 토큰 갱신요청을 보내게 설정 해두었습니다.서버는 리프레쉬 토큰을 토대로 검증 후 accessToken 과 refreshToken 을 Map 형태로 응답하게 설정 해두었습니다.문제가 발생한 부분은 이 부분입니다. 클라이언트에서 위 파라메터에 맞게 요청은 잘 보내는데 위 서버 측에서 응답을 하지 못합니다.소셜 로그인을 제외한 formLogin 만 설정 해두었을 시에 requestMatchers(&#34;/&#34;).pertmitAll() 만 설정해두어도 리프레쉬 토큰이 잘 발급 되는데,oauth2Login 을 추가할 시에 requestMatchers(&#34;/api/member/refresh&#34;) 부분을 꼭 설정 해두어야 리프레쉬 토큰이 발급 됩니다.이 부분은 일반 로그인, 소셜 로그인 둘 다 동일하게 적용 됩니다.제가 간과 하고 있는 부분 지적 부탁드립니다. 추가 질문 Oauth2 Login 진행시 JSESSIONID 가 생성 되는데 서버사이드에서도 원래 지울 수 없는 부분인지 궁금합니다. 위 처럼 logout 단을 설정 해도 지워지지가 않습니다.Oauth2 Login 로그아웃 후 재로그인시 로그인 창 진행 없이 같은 ID 로 자동 로그인 되는데 이 부분은 해당 소셜 로그인 서비스에 LogOut 요청을 별도로 보내야 하는 부분인가요? 이 부분은 https://okky.kr/questions/780783 위 글 참고해서 해결 하겠습니다.읽어주셔서 감사합니다.

charlatan · Answer

뭔가 잘 이해가 안되는데, 폼로그인에서는 "/"을 모두 허용하고 나머지는 인증이 필요하도록 설정되어 있는 것 같습니다. 그런데 액세스 토큰이 만료되어 다시 인증을 받기 위해 보내는 /api/member/refresh 이 어떻게 접근가능한 것인지 알 수가 없네요? 그러니까 원래는 폼로그인도 /api/member/refresh를 허용하도록 설정하는 것이 맞을텐데... 폼 로그인 세션이 남아 있는건 아닐까 싶네요?

JWT 리프레쉬 토큰 발급 관련 일반로그인, Oauth 로그인 충돌 문제

1개의 답변

Q&A 목록