accessToken 재발급refreshToken

Question

Access_Token 재발급부분에서 자동으로 acess 만료되면 REFRESH_TOKEN을 통해 재발급하나요 ?아니면 controller를 통해서 재발급 신청을하나요 ?이렇게 하긴했는데 오류도 나고 if문떄문에 가독성도 안좋아서요 !

akioma · Answer

제가 전 회사에서 구현했던 방식 공유드립니다!로그인 시 AT1/RT1 발급, DB(RDB,Redis) 저장 후 body에 담아 응답인증 필요 API 호출 시 토큰 필터 경유 Authorization 헤더의 Bearer *** 값 파싱존재하지 않을 경우 "인증이 필요합니다. 다시 로그인 해주세요" / 401토큰 만료 예외 발생 시 401기타 파싱 예와 (malform, Invalid signature..) 401파싱 성공 및 보안 객체 생성 완료했으나 authority가 만족되지 않아 AccessDeniedHandler 탈경우 403클라측 : API 호출 응답으로 401을 받았다면 backoff 로직에 의해 보유하고있는 AT1과 RT1을 payload에 담아/token/refresh 요청을 보냄토큰 재발급 요청 수신 시 DB에 저장된 토큰 쌍(AT1/RT1을 가져옴)payload에 담긴 AT1/RT1과 일치하는지 확인일치한다면 AT2/RT2 재발급 (RT2의 exp는 RT1과 동일), 재발급된 토큰 쌍을 DB에 저장 및 반환rotation 방식 채택 이유 : RT가 유출되더라도 원유저가 토큰 재발급 시 유출된 RT는 유효하지 않기 때문일치하지 않는다면 401 떨굼클라측 : /token/refresh 요청 시 응답이 401이라면 로그아웃 처리 (클라이언트 별 로컬 저장소의 토큰 말소 )

accessToken 재발급refreshToken

1개의 답변

Q&A 목록