쿠키, jwt 토큰

Question

안녕하세요. 일반적으로 쿠키에 jwt 토큰을 보관하면 위험한가요? 쿠키에 jwt 토큰을 쌩으로 보관하는 경우가 있었는데. 다른 방식으로는 jwt 인증이 될 시 클라이언트에서 로그인 플래그만 변경을 하네요. 후자가 안전해 보이는거 같긴 한데요. 대신 이렇게 하면 구현 코드가 추가로 있어야 할 거 같은데. 쿠키에 jwt 토큰을 가지고 있으면 크게 이슈가 될 지 정확히 짐작은 안되네요. 감사합니다.

집킨 · Answer

클라이언트에 토큰을 안줄건데 왜 jwt를 언급할까요..? 서버에서 상태관리할거면 jwt생성도 할 필요가 없지 않나요?물론 이렇게 하려면 stateless 는 포기해야곘죠그리고 jwt 페이로드에 위험한 정보는 안넣으면 되는거고.. 페이로드를 클라이언트에서 쓸 일 없으면 페이로드 자체를 암호화해서 넣으면 되는거고, expiration 도 있고..잘 모르겠네요 고수분들이 알려주실듯

개발잡부 · Answer

보통 AccessToken, Refresh Token 발급하는데 (줄여서 AT,RT라 하겠습니다) 1) AT,RT둘다 WebStroage 보관 --> XSS에 위험, CSRF에 안전 2) AT,RT둘다 Cookie Stroage 보관 --> XSS에 안전, CSRF에 위험 // 재발급과정을 서버에서 모두 해결 가능 3) AT는 WebStorage보관, RT는 Cookie에 보관 --> 적당히 위험성을 분배 로그인방법 1) 단순히 Access Token의 null or empty 비교 2) Front단에서 Access Token을 parsing하여 유효성 검증 및 로그인에 필요한 간단한 정보 획득 --> 만족하면 로그인 플래그 true로 변경 3) Router 최상위에 랜더링전 로그인플래그 false시 --> 로그인페이지로 이동 로직

autoboard.site · Answer

제 프로젝트는 SSR을 사용하고 있어서 AT는 브라우저 storage에 보관하고, RT는 쿠키 및 레디스로 관리하고 있습니다. 쿠키에 토큰을 보관하는건 문제가 될 것 같지 않습니다.

샵D · Answer

httponly, secure만 줘도 쿠키에 세션이나 토큰 보관해도 문제 없습니다.

토토땅 · Answer

추가적으로 cors 설정하실 때 origin에 * 넣는다거나 하지 않으시면 크게 문제는 없다고 보셔도 됩니다.

쿠키, jwt 토큰

5개의 답변

기술 목록