Supabase 수파베이스로 카카오 로그인을 구현한 후에 미들웨어에서 토큰검증 안해도 되는지..?

Question

안녕하세요, Nextjs 앱라우터를 사용중인데 수파베이스를 사용해서 로그인이 되게끔만 만들어 둔 상태입니다.일단 미들웨어도 비워둔 상태이고 로그인 처리는 supabase.auth.signInWithOAuth() 를 이용하고,유저 정보를 불러올때 supabase.auth.getUser 를 이용하는데요궁금한게 미들웨어에서 제가 별도로 토큰만료를 검증하고 토큰을 재발급하는 로직을 짜놓지 않아도 수파베이스가 알아서 토큰을 검증하고 재발급하는건지.. 헷갈립니다다른 request api 마다 적합한 사용자가 요청하고 있는게 맞는지는 미들웨어에서 supabase.auth.getUser 를 호출해서 정보가 있으면 인증이 된걸로 처도 되는건가요..?이틀째 여기저기 검색해보고 뒤적거려봐도 잘 모르겠습니다.. 도와주세요

슈퍼셀 · Answer

공식문서에 미들웨어 구현하는부분 있는걸로 알고 있어요. 앱라우터 인증 대응 해서 새로운 패키지도 나온것 같구요.

가니메디안 · Answer

Supabase 는 자체적으로 JWT 를 발행하고 Supabase 질의에 필요한 JWT 를 검증합니다.Supabase 가 자체적으로 발행하고 관리하는 JWT 는 개발자가 신경쓸 필요 없습니다.토큰 만료/검증/재발행 로직은 Jose 같은 라이브러리로 직접 구현하고 갖고 있어야 합니다.middleware.ts 는, 모든 서버요청에서 트리거 되고, 규칙에 따라 on/off 되지만...Supabase 등의 외부 BaaS 를 middleware.ts 에 포함하는 건 매우 좋지 않은 아이디어라고 생각합니다. 서버의 응답속도를 심각하게 늦추는 설계가 될 가능성이 높습니다.middleware 는 모든 서버요청에서 invoke 되는데, on/off 규칙을 추가한다고 하더라도, 미들웨어 레벨에서 BaaS 쿼리를 발생시키는 건 상식적으로 매우 불합리합니다.그리고, 이런 규칙을 따르자면, 얼마 안가서 middleware 가 비대화, 거대화 되는 참사를 맞게 될 것입니다.middleware 는 명확한 룰셋 하에서 사용되어야 합니다.api 에서도 Role based Auth 코드를 추가하셔야 합니다.질문과 답변을 정리하자면,Supabase 는 자기 혼자 쓰는 JWT 를 발행하고 사용한다. 이건 내(개발자)가 쓸 수 있는 자원이 아니다.개발자는 Supabase.Auth 의 JWT 를 사용하면 된다.미들웨어에서 BaaS 를 연결하지 말자. 컴포넌트 단에서 얼마든지 해결할 수 있다. 미들웨어에서 이런거 하라고 가르치는 사람들을 멀리하자.

Supabase 수파베이스로 카카오 로그인을 구현한 후에 미들웨어에서 토큰검증 안해도 되는지..?

2개의 답변

Q&A 목록