jwt 액세스 토큰 만료 상황 질문 드려용

Question

안녕하세용.jwt로 인증 만들고 있는 뉴비입니다.리프레시 토큰 만료 상황에 대한 방법은 찾아보면 의견이 많은데,액세스 토큰 만료 상황에 사용자가 직접 재요청할 지,자동으로 재요청할 지에 대한 정보는 별로 없더라고용...액세스 토큰 재요청 시, 리프레시 토큰을 받을거니까액세스토큰만 탈취한 사람은 여기서 걸러지게 될 거 같아서 자동으로 해도 어느 정도는 안전할거라 생각하는데,보통 어떻게 하나요?

오후 · Answer

사용자액션 > API CALL > 엑세스 토큰 만료 응답 > 리프레시토큰으로 토큰 재발급 API CALL > (NEW)엑세스 토큰 응답 > 토큰 정보 갱신 / (NEW)엑세스 토큰 이용 기존 호출했던 API 재 CALL

개발잡부 · Answer

프론트에서 재요청 하던지, 백에서 재발급하던지, 회사마다 정책이 달라서..정책에 따르시면 되고여담으로 토큰인증을 사용하는데 보안을 과하게 신경쓰는건 배보다 배꼽이 큰겁니다.토큰인증을 사용하겠다는건 보안은 일부 포기하고, 서버부하를 줄이겠다는겁니다.다만 최소한 이정돈 해야지 하는것들을 하는거죠.토큰인증을 사용하기로했으면 어떻게하면 토큰 탈취를 이용한 공격을 막을까? 를 고민하기보다,언제든 탈취 될수 있다를 가정하고 보안 정책을 세우셔야합니다.솔직히 아무리 탈취 공격을 철저히 막아놔도결국 해커가 작정하고 맘먹으면 다 뚫립니다;다만 간단한 수준의 공격을 막을정도만 신경써서어이없게 털리는 경우만 막으면 되는거죠인가를 철저히 관리하고, 토큰에 위험한 정보를 담지 말아야하고,중요한 기능은 2차,3차 인증을 하던가 하는 등외부적인 정책강화가 필요합니다.

jwt 액세스 토큰 만료 상황 질문 드려용

2개의 답변

Q&A 목록