NextAuth(Auth.js)와 서버 토큰 관련질문입니다.

Question

안녕하세요. Nextauth는 5버전, Next.js는 14버전입니다.우선 현재 로그인 과정은 다음과 같습니다.프론트에서 로그인 진행 > 백엔드 서버에서 엑세스 토큰 발급 및 전달 > 엑세스 토큰 쿠키에 저장 > 그와 별개로 Nextauth에서 발급하는 세션용 토큰 발급.즉, nextauth에서 발급하는 프론트 인증 및 정보 저장용 세션 토큰 하나 그리고 서버 api 인증을 위한 서버용 토큰 하나 이렇게 총 두개가 있는 상황입니다.그러다보니 이 둘의 시간을 동기화하거나 활용함에 있어서 너무너무 불편한 상황입니다.nextauth를 이번에 처음 사용해보는데 이 전까지는 서버에서 발급하는 토큰으로 다 관리했었거든요.일단 개인적으로 생각한 해결법으로는, 서버 토큰을 쿠키에 저장하는게 아니라 아래와 같이 발급 받으면 세션토큰에 같이 저장해서 사용하자로 방향을 잡고있는데 보통 어떻게 사용하나요??callbacks: { async jwt({ token, user }: { token: any; user: any }) { if (user) { token.id &#61; user.id; token.email &#61; user.email; token.nickname &#61; user.nickname; token.image &#61; user.image; token.role &#61; user.role; token.accessToken &#61; user.accessToken } return token; }, async session({ session, token }: { session: any; token: any }) { if (token) { session.user.id &#61; Number(token.id); session.user.email &#61; token.email; session.user.nickname &#61; token.nickname; session.user.role &#61; token.role; session.user.image &#61; token.image; sesstion.accessToken &#61; token.accessToken } return session; }, },

몰랑토끼 · Answer

nextauth는 백에 토큰 안넘기고 넥스트 자체에서 로그인처리 할수있게 해준거 아닌가요 백엔드 있을땐 nextauth안쓰고, 없을때만 nextauth썼었네요

르매 · Answer

백엔드에서 주는 토큰이 있으면 ,NextAuth를 사용하지 않아야겠죠.

RWB · Answer

next-auth에 대해 혼동하고 계신 것 같습니다.next-auth의 정확한 용도는 인증 및 세션 관리입니다.인증의 주체는 프론트 자신일 수도, 백엔드일수도 있습니다.즉, 백엔드의 존재 유무가 next-auth에 사용 여부와 관련이 없습니다. 다른 말씀에 혼동하지 마세요. next-auth에서 발급하는 토큰은 세션의 개념입니다.일반적인 JWT 방식에선 토큰을 쿠키 내지는 로컬스토리지에 담아서 활용합니다. 몇몇 서비스는 토큰 노출을 방지하기 위해 추가적인 보안 로직을 추가하기도 합니다.next-auth를 사용하시면 이런 절차를 신경쓰지 않아도 됩니다. 인증 간 생성한 토큰을 정해진 절차에 따라 암호화하여 사용하기 때문에, 토큰 노출에 비교적 안전합니다.(암호화를 위해 사용하는 키가 환경변수의 NEXTAUTH_SECRET입니다.)credential이라면 계정정보를, OAuth라면 OAuth에서 받은 정보를 토대로 백엔드에 요청하여, 서비스에 포함된 유저인지 확인합니다.이 과정이 언급하신 jwt 메서드에서 이루어집니다.백엔드에서 수신받은 정보를 토대로, JWT 토큰을 만들어 반환합니다.만들어진 JWT 토큰은 session 메서드로 넘어가, 세션을 구현하는 데 사용됩니다.이 세션은 useSession 메서드를 사용할 때마다 호출됩니다.받은 JWT 토큰을 토대로, 세션에 원하는 정보를 집어넣을 수 있습니다.보통 유저정보와, 서버에서 받은 AccessToken이 이에 해당합니다.질문자분이 필요한 추가적인 정보를 넣어도 되겠죠.물론 민감한 정보는 당연히 넣으시면 안 됩니다.위와 같은 방식으로 세션을 만들면, 클라이언트 컴포넌트 어디에서나 useSession이라는 훅을 활용하여 세션정보를 가져올 수 있습니다.이를 통해 로그인 절차(특히 OAuth)와 세션관리를 규격화하여 관리할 수 있는 게 next-auth의 특징입니다.

NextAuth(Auth.js)와 서버 토큰 관련질문입니다.

3개의 답변

Q&A 목록