accessToken과 refreshToken 저장 위치

Question

웹 프로젝트를 하나 하고 있고 최근에 배포하여 유저를 모으려고 하고 있는데요,refreshToken과 accessToken 보관 위치를 어디로 해야할 지 모르겠습니다.현재 refreshToken은 httpOnly Cookie로 관리하고 있고 accessToken은 localStorage에 보관하고 있습니다.토큰이 로컬스토리지에 그대로 노출되는데 괜찮은지 모르겠어서요. 유효시간은 2시간입니다.실무에서는 어떻게 관리하는지 궁금합니다.

캐티 · Answer

본래 로컬스토리지나 특정 경로에 쿠키 값에 넣어요. 보안을 확실하게 치고 싶으면 일정한 경로에 쿠키 값으로 넣어놓겠쩌.

창문의낀머리 · Answer

메모리에 담아서 쓰고, 없을때 토큰 재발급 요청 로직으로 다시 재발급해서 사용해야합니다

icksss · Answer

로컬스토리지는 그 머신의 접속한 브라우저에 그도메인에만 접근됩니다. 오히려 보안수준이 높져. 네크워크 레벨에서 토큰 탈취가 가능하기에 엣세스토큰은 짧게 리프레시는 조금더 길게 그리고 서버는 유효한 리프레시토큰 관리를 해서 위험을 최소화 합니다. 이 모든걸 해도 완벽한 보안이란건 없어요

accessToken과 refreshToken 저장 위치

3개의 답변

Q&A 목록