NextAuth 인증 session, access , refresh token의 혼동...

Question

안녕하세요. NextAuth를 이용해서 구현중인데 의문점이 생겨서 질문드려요 기존에 React개발시에는 Access &#43; refresh 조합으로 JWT인증을 진행했었습니다. 근데 NextAuth의경우 Session의 함수를 사용해서 Session Token의 발급이 반 강제적인 것 같은데,제 알기론 JWT관리와 NextAuth는 세션 &#43; 쿠키 개념으로 알고 있었는데 ,NextAuth에서 엑세스, 리프래시 토큰을 사용한다는 것을 보고 구현해보고 있는데 너무 혼동이 옵니다.refresh와 session, access까지 3개의 만료 일을 구분해서 사용해야하는 건가요..?

초개 · Answer

만료 시간은 설정해주실 수 있을텐데 정책에 따라 임의로 설정하시면 되는거 아닌가요??

RWB · Answer

일단 next-auth의 장점은 크게 보자면 아래와 같습니다.로그인 SSO 구현 로직이 비교적 간편함 (특히 SSO)세션이라는 개념을 만들고, 인증/인가에 필요한 데이터를 관리함세션 정보는 next-auth에서 제공하는 메서드/훅을 통해 SSR/CSR 어디서든 접근 가능세션 정보는 쿠키에 있으며, 해당 정보는 next-auth에서 암호화하여 관리하므로 세션 유출 리스크를 감소환경변수에 설정하는 NEXTAUTH_SECRET이 이 암호화에 관여함위 장점이 과연 내 프로젝트에 유효하게 작용하는지는 한 번 생각해봐도 좋을 것 같습니다.일반적인 AT/RT와 더불어 next-auth를 추가하시면서 생긴 session 때문에 혼동이 오신 것 같습니다.일단 refresh token의 관리 여부는 정책을 어떻게 가져가냐에 따라 다릅니다.서버에서만 관리할 수도 있고, 클라이언트에 같이 내려주기도 하고 그렇습니다.글 보면 아마 후자이실 것 같네요.AT/RT의 개념과 만료시간은 질문자분이 아시는 내용과 크게 다르지 않습니다.session은 next-auth에서 인증정보 관리를 위해 생성한 객체로, session의 만료시간은 말 그대로 해당 객체의 만료시간을 의미합니다.next-auth로 관리를 하는 순간, 필요한 인증 정보는 next-auth의 getSession 내지는 useSession 메서드를 통해 접근하실겁니다.이 때, 세션의 만료시간이 끝나 만료가 되면, 해당 메서드로 세션정보를 반환받을 수 없습니다.AT/RT가 유효한가에 관련없이, 해당 정보를 지워버리는 겁니다.이를 통해, 클라이언트가 어떠한 이유로든 의도하지 않은 정보를 오래 들고있는 현상을 방지할 수 있습니다.좀 더 쉽게 설명하자면,AT/RT -> 마트의 상품AT/RT의 만료시간 -> 유통기한세션 -> 마트세션의 만료시간 -> 마트 진열기한 (유통기한보다 같거나 짧다)정 복잡하시다면, 세션의 만료시간은 그냥 엄청 널널하게 주고,인증 여부를 아래와 같이 구분하시면 됩니다.세션이 유효한지세션이 유효할 경우, 내부 토큰이 유효한지

NextAuth 인증 session, access , refresh token의 혼동...

2개의 답변

기타 목록