access token 재발급 로직 중 궁금한 점이 있습니다.

Question

먼저 현재까지의 상황은 이렇습니다.게이트웨이서버와 인증서버로 구성된 환경이다.사용자가 로그인을 하면 accessToken과 refreshToken을 발급한다.accessToken 페이로드에는 회원 이메일등 회원정보가 있다. (refreshToken도 동일)accessToken은 쿠키에 refreshToken은 로그인한 회원의 이메일을 키값으로 redis에 저장한다.인증서버에서 accessToken이 만료됐다고 응답하면 게이트웨이서 만료된 accessToken에서 회원이메일을 추출하고 재발급을 요청한다. refreshToken을 검증한다.refreshToken을 기반으로 accessToken을 재발급한다.이때 고민되는 것이 이 로직은 만료된 accessToken을 보내면 만료응답을 받고 게이트웨이에서 재발급 요청을 보내는데, accessToken이 탈취당해도 자동으로 재발급을 한다는 것입니다.그래서 accessToken 혹은 refreshToken에 HttpServletRequest의 remoteAddr을 저장하고 재발급 요청의 remoteAddr과 비교하는 방법을 생각해봤는데, gpt에 물어본 결과 사용자 경험이 유연하지 않고 그다지 좋은 방법이 아니라고 합니다.토큰을 탈취당했을때를 고려해서 최소한의 조취를 취하고 싶은데 어떤 블로그를 봐도 적절한 답을 찾지 못해 질문드립니다.

leon808 · Answer

access token 의 유효 기간을 짧게 설정하는건 잘 알려진 내용이고refresh token 에 추가 비교 정보를 바인딩해서 조금이라도 귀찮게 구는건 사용자 경험을 저해하지 않지 않나요?얘는 어차피 access token 을 재발급 받을 때만 써서 access token 를 요구하는 사용자 경험이 발생하기 이전의 애인데 말이죠또 휴대폰 인증 등 추가 인증을 걸어둔다 이런게 방법 아닐까요?프론트 손 놓은지 오래 되서 가물가물하네요

캐티 · Answer

접근 토큰이 누설되지 않으면 되빈다. 접근 토큰이 누설되었다고 가정하고 있는데 어디서 누설되었나요. tls 같은 보안 통신을 하지 않으려는 작정이나요.만일 https 통신을 사용하지 않아서 누설되었다 하더라도 전혀 사용한 적이 없는 아이피에서 새로운 접근이 생기면 시스템에서 엑세스 토큰을 즉시 만료 할 수 있겠쩌. 이케 하는 것이 일반적으로 좋스빈다.

access token 재발급 로직 중 궁금한 점이 있습니다.

2개의 답변

기술 목록