jwt 액세스 토큰 만료 시 재발급 작업 시점? 질문 드려요

Question

안녕하세용.알면 알수록 모르는 게 생기네요.제목처럼 액세스 토큰 재발급하려고 하는데,저의 부족한 지능으로는 필터 부분 코드가 너무 더러워지더라고용...글이 난잡해도 부디 도움 부탁드립니다 ㅠㅠ...시간이 오래걸려도 구조부터 잘못되었다면 다 뜯어고칠 의지도 있습니다.아무튼 일단 저는 토큰 탈취 가능성이 있으므로,중요한 작업은 2차 인증을 받고 있습니다.따라서 간단한 작업 시에는, 액세스 토큰 재발급도 그냥 백그라운드에서 자동으로 처리되게 하려고 합니다.대부분 트랜잭션 없이 조회만 존재하는 프로그램이라서용.로그인 시 액세스 토큰, 리프레시 토큰 발급>> 로그인 성공한 사용자가 어떤 요청 시 쿠키에 담긴 액세스 토큰과 함께 요청 (함께라기보다 쿠키는 자동으로 보내지니까유)>> 필터에서 액세스 토큰 검사>> 검사 실패 케이스 중, 만료 예외의 경우에만 리프레시 토큰을 이용해서 액세스 토큰 재발급 << 여기가 제일 문제입니다...1. 액세스 토큰 만료 예외가 발생했을 때,아래처럼 클라이언트에게 만료 예외라는 것을 어떤 방식으로든 한 번 알려준 다음,서버에 액세스 토큰 재발급 요청을 하도록 해야 하나용?아니면 그냥 만료 예외 발생한 곳에서 즉각 액세스 토큰 쿠키에 담아주나요?/issue/accessToken?refreshToken= 어쩌고 저쩌고일단 저는 당연히 로직을 구분해야 한다고 생각하고 코드 작성했습니다.2. 그렇게 생각하고 일단 짰는데, 코드가 너무 개판이라서 아래 상황에서 멈춰버렸습니다...한번만 살펴주십셔...JwtFilter 에서 액세스 토큰 검사할 때,JwtConfig 에 있는 validateToken(String token) 메서드를 사용하고 있습니다.아래 코드는첫 째, JwtFilter의 doFilterInternal() 에서 JwtConfig의 validateToken() 호출하는 부분입니다.둘 째 부분에는 validateToken() 메서드 전체입니다.셋 째 부분은 사용자가 리프레시 토큰으로 accessToken 재발급받는 컨트롤러 부분입니다.if (accessToken != null) { if (jwtConfig.validateToken(accessToken, response)) { } filterChain.doFilter(request, response); } else { // 토큰이 존재하지 않거나 인증 실패 응답 response.setStatus(HttpServletResponse.SC_UNAUTHORIZED); response.getWriter().write("Unauthorized: non-existent token"); return; } public boolean validateToken(String token, HttpServletResponse response) throws IOException { try { Jwts.parser() .setSigningKey(key) // 서명에 사용할 키 설정 .parseClaimsJws(token); // JWT 파싱 return true; } catch (ExpiredJwtException e) { response.setStatus(HttpServletResponse.SC_UNAUTHORIZED); // 사용자에게 만료되었으니 액세스 토큰 재발급하라고 알려줄 문자열 보내주기 response.getWriter().write("expired"); log.info("토큰 만료 : {}", e.getMessage()); return false; } catch (MalformedJwtException e) { // 잘못된 형식의 토큰 처리 log.info("형식 오류 : {}", e.getMessage()); return false; } catch (SignatureException e) { // 서명 불일치 처리 log.info("서명 오류 : {}", e.getMessage()); return false; } catch (UnsupportedJwtException e) { // 지원되지 않는 JWT 처리 log.info("지원되지 않는 토큰 : {}", e.getMessage()); return false; } catch (IllegalArgumentException e) { // 토큰이 null이거나 비어있는 경우 처리 log.info("토큰이 null이거나 빈 문자열 : {}", e.getMessage()); return false; } catch (Exception e) { log.info("알 수 없는 토큰 예외입니다. : {}", e.getMessage()); return false; } } public Map getAccessToken(@CookieValue(name = "refreshToken", defaultValue = "") String refreshToken, HttpServletResponse response) throws IOException { Map responseMap = new HashMap<>(); JwtConfig jwtConfig = new JwtConfig(); // 쿠키 리프레시 토큰 빈값인지 검사 if (refreshToken.isEmpty()) { responseMap.put("result", "failure"); } // 토큰 유효성 검사 else if (jwtConfig.validateToken(refreshToken, response)) { responseMap.put("result", "failure"); } // 토큰 재생성 로직 Cookie accessToeknCookie = new Cookie("accessToken", ""); accessToeknCookie.setHttpOnly(true); accessToeknCookie.setPath("/"); accessToeknCookie.setMaxAge(60 * 10); response.addCookie(accessToeknCookie); return responseMap; }

개발잡부 · Answer

위같은 프로세스로 개발한다고하면,프론트에서는 모든 요청에대해 요청을 보내기전Cookie에서 AccessToken을 꺼낸다.Null이라면 -> 그냥 가지고있는 Access Token을 Header에 담아 요청을 보낸다.Null이 아니라면 -> Cookie에서 Access Token을 꺼내고, 어딘가에 저장한다음, Cookie에서 Access Token을 지운다.백엔드 필터에서는토큰 인증 시도.ExpiredException이라면 쿠키의 RefreshToken으로 Refresh 시도새로 발급된 Access Token과 Refresh Token을 쿠키에 담는다.이때 Access Token은 HttpOnly False, Refresh Token은 Http Only True로 담아야함위 과정중 예외가 터지지 않았다면 요청을 인가한다.위 과정중 다른 예외가 터졌다면 Unauthorized Exception을 날린다.Front는 사용자에게 재로그인을 유도한다.

1111011011 · Answer

저는 아래처럼 해놓고 써요interceptor status보고 처리하는게 좀 문제긴한데 아직까진 괜찮아서 그냥 쓰고 있어요백엔드로그인 API : 인증 완료 후 accessToken은 json으로 반환, refreshToken은 cookie로 반환Token refresh API : refreshToken 검증 후, 로그인 API 응답처럼 반환기타 인증 필요 API: access token 검증 후, 만료라면 403 반환프론트API 요청 시, header에 accesstoken 붙여서 전송axios interceptor.response로 403 응답인 경우, token refresh api 요청 후에 원본 api 재요청백엔드에서는 만료체크하면서 갱신하진 않고, 상태 그대로 반환만 처리하고프론트에서 api 요청 후에 만료여부 체크해서 갱신하는 식으로요저게 싫다면, 프론트에서 API 요청할 때마다 jwt token expired 체크해서 일정 시간 미만인 경우 갱신처리하게 해도 되구요

jwt 액세스 토큰 만료 시 재발급 작업 시점? 질문 드려요

2개의 답변

Q&A 목록