JWT + REDIS 질문

Question

안녕하세용.두 조합에 대해 궁금한게 생겨서 왔습니다.1. 블랙리스트 관리할 때 방식JWT도 세션처럼 나쁜사람 즉시 조치할 수 있도록 할려고 했는데,REDIS에서 기존 값을 아예 삭제시키는 방법이 있고, REDIS에 블랙리스트 여부로 값을 추가하는 방법 두 가지 중에 고민 중입니다.그냥 아무거나 쓰면 되는건지…뭐가 더 좋은게 있는 지 궁금합니다.2. 이건 그냥 jwt와 세션 차이가 약간 궁금한건데,제가 순수 웹개발? 말고는 거의 안해봤습니다.뉴비라서 앱개발이나 최신 웹 구조? 같은건 제대로 안다뤄봤다는 말이에요.그래서 혹시 쿠키랑 헤더간의 접근 편의성이 좀 차이가 큰가요?헤더가 여러 상황에서 접근이 편해서, jwt를 사용하다가 서버에 부하가 조금씩 생기는 경우가 있더라도보안이 엄청 중요한 분야가 아니면 되도록 jwt를 권장한다는 걸 봤거든요.근데 저는 제가 직접 만들어본건 딱히 없으니까.쿠키 접근이 그 정도로 불편한가 싶어서 여쭤봅니다.

방황하는젊은이 · Answer

쿠키는 위변조가 가능합니다.

인성 절구로 빻음 · Answer

redis는 캐시 용도로만 사용하는 것이 좋습니다. 캐시가 유실되더라도 비즈니스 로직에는 문제가 없어야 합니다. 따라서 블랙리스트 정보를 Redis에서만 관리하게 되면, 캐시가 초기화되었을 때 블랙리스트가 의도치 않게 해제되는 문제가 발생할 수 있습니다.블랙리스트 정보의 원본 데이터는 DB에서 관리하고, 조회 성능 개선을 위해 Redis를 캐시로 활용하는 형태라면 가능할 것 같습니다.우선 블랙리스트의 기능 정의부터 명확히 해보는 것이 좋겠습니다.예를 들어:로그인 자체를 막을 것인지글 작성이나 댓글 등록만 제한할 것인지특정 API만 차단할 것인지등 정책에 따라 구현 방식이 달라질 수 있습니다.경우에 따라서는 JWT의 claim에 블랙리스트 여부나 권한 상태를 포함해 제어하는 방법도 고려할 수 있습니다.다만 현재 말씀하신 것처럼 Redis만을 저장소로 사용해 블랙리스트를 관리하는 방식은 권장되지 않을 것 같습니다.2번에서 말씀하시는게 cookie와 jwt를 비교하시는거 같은데 그 둘은 비교대상이 아닙니다. 다른 레이어 입니다.비교대상은어디에 담을것인가: header vs cookie어떻게 관리할것인가: session(stateful) vs jwt(stateless)가 되어야합니다.

JWT + REDIS 질문

2개의 답변

Q&A 목록