스프링 로그인 구현할 때 질문입니다

Question

스프링에서 로그인 구현할 때 질문입니다. access Token 과 refresh Token 을 쿠키, 헤더가 아닌 url (?accessToken &#61; fjsdlfk& refreshToken &#61;sdfnsd) 로 전달하면 어떤 일이 생기나요??보안적으로 절대 절대 안된다는 것은 알고 있지만 그리고 토큰이 탈취되기도 쉽다는 것을 직관적으로 나마 알고 있지만 이 점을 더 명확히 알고 싶습니다. ex: 정확히 XXX 해킹 기법으로 토큰이 탈취되기 쉽다. 브라우저 히스토리 기록에 남아서 더 쉽게 조회할 수 있다. 브라우저 히스토리 기록에 남으면 -> 원격으로 내 브라우저 히스토리를 본다(??: )

커피한잔마시고1 · Answer

https://www.google.com/search?q=%EC%B9%B4%ED%8E%98+%EA%B3%B5%EC%9C%A0%EA%B8%B0+%ED%95%B4%ED%82%B9&rlz=1CDGOYI_enKR864KR864&oq=%EC%B9%B4%ED%8E%98+%EA%B3%B5%EC%9C%A0%EA%B8%B0+%ED%95%B4%ED%82%B9&gs_lcrp=EgZjaHJvbWUyBggAEEUYOdIBCDcxOTVqMGo3qAIAsAIA&hl=ko&sourceid=chrome-mobile&ie=UTF-8#fpstate=ive&vld=cid:f29de0fc,vid:PT0jXgGh51Y,st:0카페에서 공유 와이파이로 인터넷 연결해서 사용하면 위와 같은 경우 정보탈취가 쉬울 거 같네요.

wharup · Answer

공용PC라면 바로 다음 사람이 브라우저 이력에서 볼 수 있겠고해당 요청을 전달하는 모든 서버의 이력에도 남을 수 있습니다.그리고 링크를 클릭했을 때 Referer로 전달될 수도 있겠네요.

Matthew Kim · Answer

저도 생각을 안해보고 습관처럼 Post로 쓰다가 이 질문을 보고 생각을 해보았습니다.일단 get요청에 query param으로 보낸다는 것 자체가 좀 무섭네요. 그 Token이 super admin token이고 개발자님께서 다른곳에서 한번이라도 로그인 했을 때 예를들면 어디에서 발표를 한다거나 고객사에서 시연을 할 때 바로 토큰탈취되서 Super Admin의 모든 기능 delete라던지 등이 한번이라도 실행이 되면 아주 위험 할 수 있겠네요.

94backend · Answer

query param은 길이 제한이 있습니다 ㅋ.ㅋ암호화된 토큰값이 얼마나 길지는 모르겠지만 ㅋ.ㅋ그리고 리프레쉬 토큰을 가지고 있다면 얼마든 엑세스 토큰을 발급할수 있겠죠? ㅋ.ㅋ

스프링 로그인 구현할 때 질문입니다

4개의 답변

기술 목록