[스프링부트 + 리액트] JWT 사용시 페이지간 인증 방법이 궁금합니다.

Question

안녕하세요토이프로젝트로 스프링부트 &#43; 리액트를 사용하여 웹페이지를 만들고있습니다.현재 JWT를 사용하여 로그인시 Access Token 및 Refresh Token 재발급까지 완료된 상태입니다.앞으로 백엔드를 인증서버 및 리소스 서버 두가지로 나누려고 합니다. (인증서버는 추후 다른 서비스에서도 같이 사용 예정)지금까지 진행하면서 궁금한점은일부 메뉴에서는 이벤트를 통해서 백엔드에 토큰값을 보내어 인증 확인을 하는데 페이지별로 라우팅을 할때 인증 확인 요청도 필요한걸까요? (은행 로그인시 접속시간 10분 초과시 아무 메뉴 선택시 자동 로그아웃 같은...)라우팅할때 인증 확인을 하려면 화면별로 호출할때 Hook 에서 인증 확인을 하면 될지...?제가 찾아본 봐로는 토큰값에 유저 정보는 계정만 있으면 된다고 하였는데 리소스 서버에서는 단순히 토큰값의 만료시간만 검증해서 결과만 보내면 될까요? 인증 서버의 JWT 필터에서 로그인할때 UsernamePasswordAuthenticationToken를 통해서 계정, 비밀번호를 다 받아서 인증을 확인하는데 다른 리소스 서버에도 똑같이 구성해야하는건지 궁금합니다.서버를 분리해서 구성할 경우 JWT를 사용했을때 인증 서버 외 다른 서버에서는 어떻게 검증을 하고 운영하는지가 궁금해서 문의 드립니다.

핸호 · Accepted Answer

인증서버와 리소스 서버를 분리하는 이유가 무엇인가요? 나눈다고 가정하면, 인증서버에서 받은 토큰을 리소스 서버의 각 request에 함께 보내고, 리소스 서버 내부에서는 다시 인증서버와 통신하여 인증 확인을 진행합니다. "구글 아이디로 로그인" 같은 OAuth 개념(인증은 구글이, 리소스는 우리가 제공)을 참고하시면 도움될 것 같습니다.1. 별도로 특정 이벤트 기반으로 인증을 확인하기 보다는, 리소스 서버의 모든 request header에 토큰을 같이 보내기 때문에, 페이지 전환 과정에서 request가 한번이라도 일어나면 Unauthorized 응답을 받을 수 있게 됩니다. 이에 대한 클라이언트에서의 에러 처리 과정이 필요하며(refresh 시키거나, 로그아웃 시키거나 등), 방법은 프로젝트마다 조금씩 다릅니다.2. 리소스 서버에서 만료 여부만 확인한다는 말씀은 JWT token이 verify 되는지 여부만 보신다는 것인데, 리소스서버 내에서 인증서버와 통신하지 않고 verify() 하실 계획이라면, 굳이 인증서버를 분리하는 의미가 없어보입니다. 리소스 서버 내에도 인증 과정에 대한 key와 로직이 보관되어 있다는 말이기 때문이죠. 해결 방법은 모든 request 마다 jwt 토큰을 verify 하지말고, 리소스 서버 to 인증 서버 한번 진행한 뒤 이 값을 세션으로 유지시키던가, 별도의 리소스 서버용 JWT key 를 발급하여 관리하는게 맞아보입니다.

밍코밍 · Answer

발급된 jwt 토큰을 클라이언트에서 로컬스토리지 혹은 쿠키에 넣어놓으셨을텐데 클라이언트(리액트)는 서버가 인증서버인지, 리소스 서버인지 중요하지않고 매 요청마다 헤더에 jwt토큰을 담아 HTTP 요청을 보내면 그만, 서버는 들어온 http요청에 대해 jwt토큰을 까서 확인한뒤 응답을 보내주면 그만입니다.네. 액세스토큰의 만료시간을 10분으로 설정해두고 클라이언트에서 Hook을 통해 페이지 라우팅할때 jwt 만료시간을 검사하여 로그아웃처리(jwt토큰삭제,리다이렉트등) 하시면 됩니다. 리액트 내에서 단순 페이지간 이동이라면 서버에서 jwt토큰을 검사하는게아니라 클라이언트 내에서 처리하는것이지요리소스 서버에서도 jwt를 통한 인증작업을 하고싶다는 말씀같은데 UsernamePasswordAuthenticationToken은 로그인과 관련된 필터이므로 로그인 작업은 인증서버에서 처리하셨다면 구현할 필요 없습니다. 대신 들어온 http 요청에서 jwt토큰을 추출하여 만료시간 여부,토큰 일치여부등을 검사하는 jwt필터를 구성하시면 될것같네요

[스프링부트 + 리액트] JWT 사용시 페이지간 인증 방법이 궁금합니다.

2개의 답변

기술 목록