토큰값 넘겨주는 방식 질문드려용

Question

안녕하세요.jwt 토큰을 이용해서 필터와 api 호출하는 이것저것 만들었습니다.지금 제 방식은 로그인에 성공하면, 서버에서 HttpOnly 쿠키를 만들어서 브라우저한테 줍니다.그리고 필터에서 검증할 때 서버에서 알아서 쿠키의 jwt 토큰을 채취해서 검증합니다.어차피 쿠키에 담긴건 매 요청마다 알아서 같이 보내지니까 굳이 클라이언트단에서 직접 다루지는 않았습니다.보통 이런식으로는 안하나용?다른 사람들꺼 보면 클라이언트단에서 직접 토큰을 보내주고, 서버에서는 받은 인자의 토큰을 검사하더라고요...

BlessU · Answer

정해져 있는 것은 아니고 요구하는 환경이 어떠하냐에 따라 다릅니다.보안이 중요한 상황이라던가 모바일앱까지 연동을 해야 되는 상황이라던가 강제 세션만료나 강제 로그아웃이 필요한 상황이라던가?저같은 경우는 보통 이러한 경우와 거리가 멀고 백, 프론트가 확실히 구분되어있어 프론트쪽에서 페이지마다 인증/인가를 세부하게 지정해야할 편의성과 서버에서는 검증만 하면 되므로 보통 쿠키방식보다는 jwt-storage방식을 사용합니다.

soop · Answer

accessToken 을 프론트에서 관리한다.서버에서 set-cookie 방식으로 전부 관리한다.제가 다닌 회사들에서는 1번 방식을 주로 사용했습니다.제 개인 프로젝트는 2번 방식으로 진행하고 있습니다.

오후 · Answer

개발에 정답이없긴하지만 보통의 방식으로 보자면 JWT 의 일반적인 처리방식은 아닙니다.해당 형태로 보자면 인증/인가에 대한 방법중 쿠키 방식으로 단지 인증(로그인 여부)값을 jwt 으로 할 뿐인상태입니다.(토큰이 아닌 다른문자열로 해도됨) 쿠키 / 세션 / 토큰 으로 검색해서 참고하시면될거같습니다.

カワウソ · Answer

JSON Web Token (JWT) is a compact claims representation format intended for space constrained environments such as HTTP Authorization headers and URI query parameters.RFC 제안에 대한 언급은 있긴 합니다. 조금 생각해보면 쿠키는 브라우저에 특화되어있고 클라이언트가 다른 서비스 혹은 IoT 디바이스로 가정하면 쿠키보다는 인증 헤더가 사용하기 쉽긴 하죠.

장독깨기 · Answer

이걸로 계속 고민중이시군요. ㅎ지난 글 보면 지금 SSR 방식으로 하고 있잖아요,그럼, 그렇게 하면 됩니다.보통 이런 식으로 하느냐? 이건 잘 모르겠습니다. ㅎ근데, 저 같은 경우는 그냥 세션을 사용합니다.클라이언트가 직접 토큰을 담아 요청하고,...이건 프런트(클라이언트) 와 백앤드(서버)가 완전 분리했을 경우입니다.가령, 프런트를 분리해서 리액트로 작성했습니다.또는, 윈도우 앱이나 모바일 앱에서 API 로 데이터를 요청한다 보겠습니다.그럼, API 로 데이터를 요청하고 화면은 프런트(클라이언트)에서 작성하죠.이때, API 로 요청할 때, 토큰을 담아 요청하면 됩니다.

토큰값 넘겨주는 방식 질문드려용

5개의 답변

기술 목록