jwt 토큰 url로 전달

Question

유튜브보면서 oauth구현중인데 oauth로그인이 성공될경우 이렇게 url에 토큰을 포함시켜 전달하는데토큰유출이 문제되지 않나요? 괜찮은가요?

leon808 · Answer

헤더에 태웁니다 url 에 포함시킨다는 발상은 신박하네요

핸호 · Answer

토큰이 OAuth 서비스(구글 등)에서 로그인 이후 성공시 그들이 제공해주는 토큰인가요? 그럼 일반적으로 안전합니다. 민감 데이터를 포함하지 않은 토큰으로 &#34;성공 여부&#34; 정보만 갖고 있기 때문입니다. 이 토큰을 우리측 서버에 보내서, 우리 서버는 구글에 해당 성공에 대한 자세한 결과값을 가져오면서 최종 로그인이 됩니다. 이런 인가 토큰은 일반적으로 안전한 방식으로 취급받지만(매우 짧은 유효기간(1분 내외)이고 일회성이라서, 탈취되어도 우리 서버에서 먼저 쓰면 만료됨) 보안에 더 신경을 쓰고 싶으시다면 PKCE 같은 다른 방식들도 있습니다.

Lee SanGu (엘피타) · Answer

https 가 url 도 암호화 하던가...

vlowww · Answer

code=로 시작하는거면 상관 없고, 어세스 토큰 정보가 쿼리스트링으로 Url에 담기는건 위험해서 쿠키에 사용해서 secure 설정하는게 안전하다고 최근에 소셜로그인 적용하면서 알게됬어요

jwt 토큰 url로 전달

4개의 답변

기술 목록