JWT토큰은 꼭 헤더에 넣어야 하는건지 궁금합니다.

Question

안녕하세요 백엔드에 입문한지 얼마 안된 학생입니다.spring security에 대해 공부를 하다가 토큰 발급의 reponse 방식에 대한 의문이 생겨서 질문을 드리게 되었습니다.여러 구현 코드들을 보며 유저 인증 성공시 토큰을 발급하는 코드를 작성을 하게되었는데요 코드는 아래와 같습니다.protected void successfulAuthentication(HttpServletRequest request, HttpServletResponse response, FilterChain chain, Authentication authentication) throws IOException { CustomUserDetails customUserDetails = (CustomUserDetails) authentication.getPrincipal(); User user = customUserDetails.getUser(); Collection authorities = authentication.getAuthorities(); Iterator iterator = authorities.iterator(); GrantedAuthority auth = iterator.next(); String token = jwtUtil.createAccessToken(user.getEmail(), auth.getAuthority()); response.addHeader("Authorization", "Bearer " + token); String result = objectMapper.writeValueAsString(ApiResponse.ok(token,"로그인 성공")); response.getWriter().write(result); }처음엔 헤더에 토큰값만을 넣는 코드였는데 공통 응답 객체로 json형태로 값을 반환해 보고싶어서 위와 같은 코드로 변경이 되었습니다. 헤더와 응답 객체에 중복으로 토큰을 넣는 이유는 아직 토큰 검증 코드를 수정하지 못한 상태라 그대로 뒀습니다.여러 블로그들을 확인했는데 확답이 되는듯한 느낌이 들지 않아서 선배님들께 여쭤보고 싶습니다공통 응답 객체에 토큰 값을 넣어서 반환해도 되는지 혹시 안된다면 그 이유가 무엇인지 여쭤보고 싶습니다.선배님들께서는 어떤 방식으로 토큰을 response 해주고 계신가요?

Henry7 · Answer

jwt 전송이 필요한 경우 request 헤더인 Authorization 에 넣어 보내고,jwt 를 응답해야 되는 경우 response body 에 보내면 됩니다.

김포포 · Answer

팀 맘대로임. 아무 상관없어요근데 보통 바디에 넣는 듯

Clickin · Answer

공공에서는 Jwt 전송을 body에 담아서 하는 해괴한 곳도 있긴 합니다. 이런 경우는 굉장히 구버전 클라이언트거나 http header가 뭐에요? 하는 사람들 대상으로 서비스해야해서 그럴만하긴 합니다.찾아보니 JWT가 제안된 RFC7519에 authorization header에 넣자고 제안했던 부분이기도 하고요Body에 넣으면 서버-클라간 모든 api req-res가 토큰을 감안하고 만들어져야하는데헤더에 넣으면 공통부분에서 처리하기 쉬워지죠.인증토큰을 발급해주는 부분은 body에 담아보내도 되고 cookie 구현이라면 header에 담아보내도 무방합니다.

초무쿤 · Answer

HTTP header 표준이 있는데..표준을 따르지 않는 이유가 정확히 있으시면.. 가능하실지도요? (있을리가....)

JWT토큰은 꼭 헤더에 넣어야 하는건지 궁금합니다.

4개의 답변

기술 목록