리프레시토큰을 토큰에 가지는 이유가 ..

Question

db에서만 저장하고,엑세스가 만료되면 리프레시를 유저 아이디로 가져와서 다시 엑세스 토큰 만들어주는 방법이 클라이언트에서 가지고 있지 않아서 더 안전하지 않나요??

인딥개발자 · Answer

액세스 토큰을 탈취당했을 때를 가정해보면요?A의 액세스 토큰을 B라는 유저가 탈취했을 때 리프레시 검증이 없다면 B는 새로운 액세스 토큰을 재발급 받는 문제가 생기겠죠

Clickin · Answer

제가 JWT는 많이 해보지 않아서 그냥 일반론적으로만 생각해봤는데 문제가 있지 않나요.토큰은 사용자가 맞는지 증명해주는건데 그걸 사용자가 가질 필요가 없다면 이상하네요db에서만 들고있으면 엑세스 토큰 재발급 api에 아무 유저 아이디나 다 집어넣어서 발급 가능하고 궁극적으로 비밀번호 없이도 모든 사람 계정을 다 탈취할 수 있겠네요주민번호랑 똑같은 상황인데 신분증 대조해서 본인인지 확인하지 주민번호만 불러주면 다 본인이라고 인증해주지 않잖아요.결론적으로 리프레시 토큰은 사용자가 해당 기기에서 로그인 절차를 성공했다는 의미와 함께 사용자 증명의 역할도 한다고 봐야하지 않을까요

ccat · Answer

access Token 만료 -> db에 사용자 아이디를 통한 refresh Token 확인후 accessToken 발급이런 식으로 진행하게 되면 access Token만 털리면 바로 refresh Token까지 털리지 않을까요?

팩트폭행범 · Answer

리프레쉬토큰은 토큰탈취로인한 정보유출 예방장치입니다

Matthew Kim · Answer

아시겠지만 일반적인 과정은 다음과 같습니다 accessToken을 탈취 당했는데 그 토큰의 Role이 최고 관리자라면 그 토큰을 탈취한 해커는 모든 API를 마음대로 호출 할 수 있습니다. 그래서 탈취 된다는 전제로 개발을 합니다.탈취 되기 때문에 해커가 최대한으로 날뛸 수 있는 시간을 30분 이하로 짧게 지정을 합니다. 그래서 token에 expire time을 넣어놓는 것입니다.일반 사용자 입장에서는 accessToken이 만료되면 다시 로그인을 해서 토큰을 발급 받아야 하는데 이때 id와 pw를 다시 넣고 로그인 하면 불편합니다. 그래서 accessToken과 refreshToken을 같이 넣고 요청해서 accessToken을 재발급 받아서 쓰게 됩니다. 제가 이해를 잘 못해서 그러는데 '엑세스가 만료되면 리프레시를 유저 아이디로 가져와서 다시 엑세스 토큰 만들어주는 방법'이라고 하셨는데 id만 넣고 accessToken을 재발급 요청 하신다는 뜻인가요?

리프레시토큰을 토큰에 가지는 이유가 ..

5개의 답변

Q&A 목록