jwt 관련해서 질문있는데요...

Question

jwt 관련해서 몇 가지 궁금한게 있는데요.. 1. 특정 앱에서 로그인을 해서 사용한다고 할 때, 이 경우 만약 토큰 만료 시간이 필요없어도(시간이 아무리 지나도 로그아웃 될 필요가 없음) Refresh Token이 필요한가요? 2. 앱에서 사용자가 명시적으로 로그아웃을 한다면 그 때는 앱에서 자체적으로 jwt을 없애면 되나요? 3. 두 단말에서 같은 아이디로 로그인 한다고 할 때 마지막으로 로그인한 단말에서만 jwt가 유효하고 처음에 로그인한 단말에서는 기존에 사용하고 있던 jwt가 invalid해져서 로그아웃 시킨다거나 할 수 있나요? 서버 쪽에서 jwt 테이블을 유지하고 있지 않으면 안될것 같은데 그러면 jwt을 사용하는 의미가 없어지는건 아닌지..

푸르게 · Accepted Answer

1. backend store는 db/redis/memory 등입니다. 1. token 유효 시간을 1일이든, 3일이든 지정하죠. 사용자가 login 한 후 사용 중지 후 이 시간 동안은 유효하게 2. 1의 시간 내에서 다시 사용한다면 refresh token으로 갱신 만일 1의 시간을 초과한 후 사용하고자 한다면 다시 로그인 요구 3. 단일 로그인 기능은 꼭 필요하지 않다면 없애겠습니다. 필요한 이유가 뭔가요?

니플 · Answer

그렇다면 JWT를 사용할 이유가 없는 것 같습니다. 3이 이해가 안되네요

제발.. · Answer

3번은 예를 들어 아이폰에서 로그인해서 사용하다가 다른 폰에서 같은 계정으로 로그인을 하면 이전에 로그인되어 있던 아이폰에서 다른 기능을 사용하려고 할 때 사용할 수 없게 하고 로그아웃 시키는 것을 말합니다. 쉽게 생각해서 로그인 가능 기기 수를 가장 마지막 로그인한 1대로 정하고 나머지 기기에서는 사용할 수 없게 하는 기능입니다.

푸르게 · Answer

1. token이 유효하다면 다시 받을 필요가 없습니다. 하지만 보안상 expired time은 지정해 주는 것이 좋다고 봅니다. 2. token를 지워버리는 것으로 끝입니다. 하지만 token을 지워버리다고 해도 jwt의 token 유효성이 사리지는 것이 아닙니다. 1에서 처럼 시간이 무한하다면, 이 token이 해커 손에 넘어갈 때 token 자체의 유효성을 중지 시킬 방법이 없습니다. expired time을 두어야 하는 이유 입니다. 3. jwt는 token 자체 유효성만 판단함으로 다른 사이트/앱에서의 token 유효성 판단에 영향을 미지치 않습니다. 즉, 단일 로그인을 하기 위해서는 backend store를 사용해야 합니다. 정말 그 기능이 필요하지 않다면 backend store를 두지 않는 것이 좋습니다. token expired time을 짧게 두는 것도 한 방법입니다.

제발.. · Answer

푸르게 님!!추가 질문요.. 일단 제가 ios 개발자라 서버를 잘 몰라서.. backend store가 뭔가요? jwt를 따로 모아두어야하는 건가요?그리고 만약 푸르게 님이시라면 1, 2, 3과 같은 조건의 앱(로그인 하면 사용자가 명시적으로 로그아웃하지 않는 한 토큰만료로 인한 로그아웃 시키지 않고, 다른 단말에서 로그인 시 기존 단말은 로그아웃)을 만든다고 할 때 jwt를 안쓰시고 기존의 토큰 방식? 을 사용하실 건가요?조언 부탁드립니다.

제발.. · Answer

사용자의 데이터(사진, 문서, 음악파일)를 가지고 있는 앱이면 폰을 분실하거나 다른 폰에 잠깐 로그인했을 때(그리고나서 로그아웃을 안하면) 다른 사람이 계속 원래 사용자의 데이터를 볼 수 있기 때문에 단일 로그인을 하려고 합니다. 물론 토큰 만료 시간이 있으면 그 시간 이 후에는 사용할 수 없겠지만 만료되기 전에 지속적으로 사용해서 만료시간을 갱신하면 계속 사용할 수 있기에 단일 로그인을 생각해 본것입니다. (이런 경우는 좀 극단적인 상황이긴 합니다.) 단일 로그인이 아니라면 클라이언트에서 설정 같은 기능으로 내가 로그인된 클라이언트들을 볼 수 있고 강제 로그아웃 시킬 수 있는 기능이 있으면 좋은데 그건 일이 좀 커질 것 같아서 .. 그리고 단일 로그인보다 더 중요하다고 생각하는건 토큰 만료 시간인데 사실 모바일 앱에서 며칠 사용안했다고 로그아웃 시켜서 또 로그인하라고 하면 고객입장에서 짜증날 것 같습니다. 실제로 모바일 앱에서 그렇게 로그아웃 시키는 앱을 본적이 없는것 같구요. 그냥 한 번 로그인하면 고객 스스로 로그아웃 하기 전에는 계속 로그인 유지되었으면 좋겠다고 생각하고 있습니다.어쨌든 정리하면 '단일 로그인 기능은 넣고 싶지만 경우에 따라 안할 수도 있고 토큰 만료시간은 없애고 싶다' 입니다.

푸르게 · Answer

jwt 는 그러한 기능을 만족시킬 수 없습니다. 기본으로 추구하는 것이 stateless 입니다. jwt 를 강제로 만료 시킬 방법이 없으므로 , 서비스에서 이 부분이 문제가 된다면, 다른 방식을 고려해야 합니다.

제발.. · Answer

안되는군요.. 답변 감사합니다.

jwt 관련해서 질문있는데요...

8개의 답변

#access_token 목록