jwt 필터 적용 범위 질문 드립니다.

Question

안녕하세용.오늘만 벌써 3번째인 거 같은데, 저도 한번에 질문하고 싶지만모르는 게 단계단계 생겨서 그럴 수가 없네용... 양해 부탁드립니다.액세스 토큰이 만료된 채로 페이지 진입 시,401 에러를 반환해버리면 텅빈 화면을 보게 되니까, 리프레시 토큰을 이용해서 액세스 토큰을 재발급받는 요청을 보내는 게 불가능한 거 같더라고용...그래서 페이지 진입까지는 허용해주고, 데이터를 불러오는 부분에 대해서만 필터로 토큰 유효성 검사를 실시하려고 하는데,이런 방법은 구린가용??아니면 제가 뭔가를 놓치고 있는 걸까요...?

개발잡부 · Answer

일단 filter를 분기해서 order 어노테이션으로 url에 따라 다른 필터체인을 타도록 설정 할수 있구요filter에서 exception이 나도 throw하시면 안되고 전부 catch 하셔야합니다인증에 실패하면 익명객체가 생성될꺼고필터의 맨 마지막부분에서익명객체인지 아닌지와 해당 url에 대한 접근권한을 비교하여 acessDenyHandler를 호출합니다만약 catch 하지 않는다몈controller까지 가지않고 EntryPoint를 호출해요

カワウソ · Answer

슬라이딩 세션 전략에 대해 찾아보시고 토큰이 만료되었다면 오랫동안 활동이 없었다고 가정하고 오키처럼 재로그인으로 유도하는게 좋은 방향으로 보입니다.

정규분포 · Answer

design smell이 강하네요. 윗분 말처럼 refresh token은 sliding session 적용하라고 있는 겁니다. 만료 되었으면 jwt를 통째로 재발급 하는게 맞죠. 만료 기간을 길게 두고, 세션이 오랫동안 사용되지 않았으면 그냥 버리는게 일반적인 방법입니다.

crnmst · Answer

나 같으면 그냥 쿠기에 로칼타임_+맥으로 전송해서 만료 체크 하지 머 저런 개 쓰레기 같은 AWT토큰을 쓰는지 ㅋㅋㅋ

초무쿤 · Answer

로그인시인증성공 시 JWT 토큰 (access token, refresh token)을 http only cookie에 넣는다)보안필터(직접개발하신다고 했으니)access token을 먼저 검사 => 이상없으면 통과access token 만료 시 => refresh token으로 다시 access token, refresh token 다시 cookie로 쏘고 통과둘다 valid하지 않으면 로그인 페이지로 이동ps. 웹베이스 일때고요. SPA + stateless이면 직접 header에 쏴야될수도 잇음.

장독깨기 · Answer

액세스 토큰, 리프레시 토큰을 쓰려면요,페이지로 바로 진입하면 안 되구요,프런트(브라우저)에서 API(ajax) 호출하고 결과를 받아야 합니다.그래야, 반환값을 보고 그 다음을 진행하죠.액세스, 리프레시 토큰 쓰는 이유나 목적을 좀 알아보시구요,페이지 바로 진입할거면 그냥 세션 사용하면 됩니다.

금수강산 · Answer

서블릿 필터를 잘 모르시는 거 같은데요데이터를 불러오는 곳에서만 필터로 어떻게 검증을해요? service layer인데거기선 aop나 별도 모듈을 호출해야죠혹시 필터라는 게 그냥 서블릿 필터가 아닌 일반 모듈 파일인가요?필터는 디스패처서블릿 위임 전 전처리 하는 겁니다.그리고 데이터 다 불러온 이후에 마지막 응답 전에 후처리 해주고요.서블릿 필터가 맞다면 다시 공부하셔야 할 것 같아요

jwt 필터 적용 범위 질문 드립니다.

7개의 답변

#jwt 목록