jwt 토큰 저장에 대해 질문 사항있습니다 ㅠㅠ

Question

1. 로그인 시 access/refresh 둘 다 발급 후 쿠키에 httponly 로 저장-> (1) 이럴 경우 access와 refresh 를 서버에서 req get Cookie 로 가져와서 유효성을 체크하나요?-->(1-1) header authorization 에 담아서 확인한다는데 이런 경우는 뭔가요 ?ㅠㅠ -> (2) refresh 도 쿠키에 저장하고 유효기간을 길게 잡으면 refresh 가 탈취될 위험은 없는건가요? 2. access 만료 시 사용자가 다시 refresh 요청하고 redis 와 cookie 의 refresh 를 비교 후 재발급-> (1) 만료 시 사용자에게 가지않고 바로 refresh 하는 방법은 별로인가요?-> (2) cookie 에 안담고 redis 에서만 refresh 를 처리할 순 없나요 ?

컴포지트 · Answer

jwt는 클라이언트가 토큰을 가지고 가는 시나리오로 설계된 토큰 체계입니다.물론 속성은 까지기 때문에 민감한 정보를 담으면 절대 안되고요.1-1 처럼 보통 헤더에 넣어 토큰을 검증하고 요청을 수행합니다.1-2 같이 걱정스럽다면 유효기간을 적당히 잡으시길.2-1. 매 요청마다 유효기간이 갱신된 jwt 토큰을 생성하는 방법도 있습니다. 하지만 자원을 잡아먹으니 서버에서 내부적으로 별도의 유효기간을 가지고 갱신하는 것이 더 효율적입니다.2-2 적어도 클라이언트 내에서는 없습니다.

파이리v · Answer

저도 처음 구현시에 많이 알아보고 고민했던 부분인데 참고만하세요!1. 액세스토큰은 httpOnly, secure 속성이 추가된 쿠키에 담아두고 리프레시토큰은 DB에 저장합니다.서버에서 쿠키 발급 시에는 브라우저에 자동으로 쿠키가 설정되고 request 시에도 자동으로 쿠키가 설정된 채로 요청이 날라가기 때문에 따로 header에 토큰을 담아주거나 할 필요가 없습니다.리프레시토큰은 가입 시 발급을 하고 DB에 저장 후 액세스토큰이 만료되면 DB에서 조회후에 새 액세스토큰을 발급해줍니다.2. 저는 액세스토큰 만료 시 사용자에게 만료응답을 주지 않고 바로 리프레시토큰으로 새 액세스토큰을 발급해주고 있습니다. 만약 리프레시토큰도 만료되면 만료응답을 주고 로그인 페이지로 리다이렉트 해주고 있어요.

코둥 · Answer

컴포지트 1-1 처럼 보통 헤더에 넣어 토큰을 검증하고 요청을 수행합니다.->(1) cookie 에 저장하면 그냥 쿠키를 불러오면 안되는건가요?cookie 에 담고서 header에 다시 담는 이유가 궁금합니다.(2) filter 를 사용해서 모든 url 접근 전에 토큰 검사를 진행하는데요.header 에 담는 경우 모든 행위를 계속 주고 받아야하나요 ? ㅠㅠ

코둥 · Answer

파이리v 1. 그럼 클라이언트는 굳이 refresh 을 가질 이유가 없는건가요 ?저도 처음엔 요래 생각했는데 몇몇 예시들이 refresh 를 쿠키에 넣길래 혼란스럽네요 ㅠㅠ

jwt 토큰 저장에 대해 질문 사항있습니다 ㅠㅠ

4개의 답변

#access 목록