액세스 토큰 재발급 시 궁금한 점이 있습니다.

Question

카카오, 애플로 소셜 로그인을 하면 액세스 토큰은 Http Header에, 리프레시 토큰은 HttpOnly Cookie에 담아서 응답하며 리프레시 토큰은 Redis에 저장하고 있습니다. 클라이언트 측에서 Http Header에서 유효한 액세스 토큰을 담아서 요청하면 인증 정보를 SecurityContextHolder에 저장하고 있습니다.액세스 토큰이 유효한 경우는 문제가 되지 않지만, 만료된 액세스 토큰을 헤더에 담아 요청했을 때 궁금한 점이 있습니다. 쿠키의 리프레시 토큰이 유효한 경우 (토큰이 유효하고, Redis에 저장된 리프레시 토큰과 동일), 새로운 액세스 토큰을 Http Header에, RTR을 적용하여 새로운 리프레시 토큰을 HttpOnly Cookie에 담아서 응답하며 Redis에 저장합니다. 이 과정에서 또한 SecurityContextHolder에 인증 정보를 저장하고 있습니다. 이렇게 구현을 하였더니, 만료된 액세스 토큰을 헤더에 담아 요청을 보내도 브라우저에 유효한 리프레시 토큰이 있다면 api 응답을 해주며 액세스 토큰을 헤더에 재발급해주도록 하였습니다. 다음과 같이 구현을 하여도 문제가 되지 않는지 궁금합니다. 액세스 토큰을 재발급 할 때는 SecurityContextHolder에 인증 정보를 담는 것이 아닌, 액세스 토큰과 리프레시 토큰만을 재발급해주고 api 응답을 하지 않는 것이 맞을까요?

왕감쟈 · Answer

리프레시 쿠키를 모든 요청에 보내지 않고 서버에서 토큰 만료라는 걸 알려주면 그때만 프론트에서 쿠키를 포함하여 리프레시를 요청하도록 하는 방법이 안전합니다.

천혜향1223 · Answer

사용자 인증이 필요한 로직에서 헤더에 있는 액세스 토큰으로 인증하고 액세스 토큰이 만료되었을 경우 refresh 토큰 재발급 api 호출하는건 어떤가요? 작성자님의 말씀대로 재발급 api 없이 하면 토큰 인증 로직에 기능이 많아지지 않을까 해서요

액세스 토큰 재발급 시 궁금한 점이 있습니다.

2개의 답변

기술 목록