프론트엔드(nextjs)에 jwt 비밀키를 저장하는 것은 좋은 설계인가요?

Question

JWT 비밀키를 서버(스프링부트)에 보관하여 서버에서 jwt인증을 하도록 구현중입니다.프론트에서 요청하는 모든 작업에 대해 jwt토큰을 확인하고 유효하지 않으면 401에러를 발생시키고 프론트엔드는 401에러를 감지하여 로그인 페이지로 이동하도록 처리할 예정입니다.근데 서버요청이 아닌 단순한 페이지 이동의 경우, 다음 문제가 발생합니다.jwt가 만료되었을때, 서버 요청이 있는 페이지 이동시 401에러를 받아 로그인 페이지로 이동하지만서버 요청이 없는 단순 ui화면의 경우 자유롭게 탐색이 가능합니다.이를 방지하기위해 프론트에 jwt 비밀키를 보관하여 서버 요청이 없더라도 자체 검증하여 만료여부를 판단하게 하는건 어떤가요?

감독님테스트가하고싶어요 · Answer

jwt 만료 확인에 반드시 비밀키가 필요한가요? 필요없을거같은데요

commitPush · Answer

jwt는 토큰 안에 만료 시간에 대한 정보가 담겨있어서 비밀키가 없어도 토큰만으로 만료 여부가 확인 가능합니다.

wharup · Answer

안됩니다;;JWT에 민감한 정보를 넣어서 Payload를 암호화하는 JWE를 사용하시나보군요이런 경우 프론트엔드에 비밀키를 넣어두면 누군가 찾아낼 수 있기 때문에 보안적으로 큰 위협이 됩니다.정 필요하면 JWT의 만기 시간을 프론트가 따로 가지고 있어도 됩니다.예를 들어 로그인할 때 만기 시간을 저장해두고 화면 이동할 때 체크하는 식으로요화면 진입할 때 간단한 API를 호출해서 JWT 만료 여부를 체크할 수도 있겠는데요.. 필요하신 경우에만 사용하는게 좋겠네요.

신도림산당 · Answer

보통 accessToken으로 검증하지 않나요? accessToken 만료되면 refreshToken으로 재갱신해주고? 프론트는 accessToken만 들고 있다가 API 통신시 헤더에 같이 보내주면 서버에서 검증하는게 일반적인지 않은가 싶습니다

lazymode · Answer

그래서 refresh token이라는게 있습니다.

개발잡부 · Answer

jwt 토큰은 내용을 숨길수 있어서 쓰는게 아니라 위조방지가 강력해서 쓰는겁니다.님이 만든 jwt 토큰 https://jwt.io/ 여기에 긁어서 넣으면 내용 다보여요...

풀스택3년차 · Answer

클라이언트에서는 보안에 관련된 비밀키는 어떠한 이유가 있엇도 보관하시면 안됩니다.JWT또한 만료되는 시간의 정보를 같이 저장하기 때문에 그걸 이용해보세요 아니면 로그인후 만료되는 시간을 로컬 스토리지 혹은 세션스토리지에 저장 후 로직을 고려해보시는게 좋을것 같습니다.

프론트엔드(nextjs)에 jwt 비밀키를 저장하는 것은 좋은 설계인가요?

7개의 답변

기술 목록