REST API에서 세션 기반 인증

Question

스프링 시큐리티를 통해 인증/인가 프로세스를 처리하려고 할 때 궁금증이 있어 질문 남깁니다.REST API를 개발할 때 웹에서만 사용이 된다고 할 때 REST API의 무상태성 원칙을 지키지 않고 jwt 인증이 아닌 세션 인증을 사용해도 무방한가요?

감독님테스트가하고싶어요 · Answer

네

개발잡부 · Answer

그 무상태성이 인증방식을 얘기하는게 아니에요 상관없음

wharup · Answer

클라우드에서 무중단 운영을 위해서 WAS를 무상태로 만드는 것은 필수입니다.WAS를 무상태로 만드는 건 세션을 사용해도 토큰을 사용해도 달성이 가능합니다. 세션을 구성하는 방식에서 세션 저장소 유형을 사용하면 됩니다. 참고로 스티키 세션, 세션 클러스터링는 사용하지 못합니다.

개미와고양이 · Answer

가능은 하지만 좋은 방법은 아닙니다.보통 API 는 서버 to 서버 에서 이루어지는데 새로운 Http 객체로 접근시 기존 연결된 Session 사라지게되고새루온 Session 을 연결 해야 하며Session 생성, 저장 Session 하나당 메모리 사용량 그리고 연결 가능한 Session 수가 생각만큼 많지 않다는걸생각 한다면 JWT OAuth 가 더 좋은 볼 수 있습니다.

REST API에서 세션 기반 인증

4개의 답변

기술 목록