jwt 제가 이해한게 맞는지와 궁금한 점에 질문드립니다 !

Question

1. 로그인 성공 시 access token 과 refresh token 발급2. access token 은 cookie 에 저장하고 refresh token 은 redis 에 저장- 질문 1. 여기서 header Authorization 에 저장하는 경우는 뭔가요? 또한 그럴 경우 값이 계속 유지되지 않아서 페이징 할 때 마다 다시 넣어줘야 하던데 제가 잘 못하고 있는건가요? (ex) 로그인 성공 시 response Authorization에 넣음(response header에 남음) -> 다른 페이지로 이동함(header Authorization 없어짐) - 질문 2. refresh token 을 쿠키에 넣으라는 말도 있는데 장기 노출을 피하려고 refresh token 을 피하는걸로 아는데 노출된다면 안좋은게 아닌가요? ㅠㅠ3. 요청 시 access token 유효기간 확인 후 만료 시 refresh token 유무를 확인해서 access token 재 발급 ㅠㅠ 2번에서 막혀서 며칠째 고민중입니다.. 선배님들 도와주세요 ㅠㅠ

JohnMark · Accepted Answer

client request header에 있는 authorization 헤더 필드는 인증을 위해 설계된 필드입니다. https://developer.mozilla.org/ko/docs/Web/HTTP/Headers/Authorization 2 - 1 질문 클라이언트는 서버에 인증 요청의 결과로 받은 accessToken을 자기 자신이 관리해야합니다. 그래야 stateless 하기 때문이죠. 쿠키나 로컬 스토리지, 세션 스토리지 등등 상황에 맞추어 클라이언트에서는 해당 정보를 저장하고, 서버로 보내는 인증이 필요한 모든 request마다 반드시 해당 필드에 인증 토큰을 넣어줘야합니다. 헤더 필드에 매번 들어가는 부분이기에 공통 코드로 뺴서 구현하는 경우가 있습니다. 2 -2 질문 refreshToken을 사용하는 이유는, accessToken을 갱신하기 위함입니다. accessToken의 토큰 유효 기간을 짧게 잡고, refreshToken으로 갱신을 하는 프로세스를 가져야 올바른 설계입니다. accessToken이 노출이 되어도, 사용할 수 있는 시간이 짧기 때문에 최악의 상황은 피할 수 있습니다. accesToken 노출에 대한 대비로는 여러가지 방법이 있으나, 높은 수준으로 검사한다면 client ip 값을 accessToken 페이로드에 저장하고, 서버에서는 토큰 검사 시 요청 ip와 accessToken 페이로드에 있는 ip가 일치하는지 여부를 확인하여 accessToken을 발급 받은 사용자가 api요청을 날리는 것인지 확인 할 수 있습니다.

임챙 · Answer

JohnMark 앗 선생님 2-1 은 이해가 확 됩니다 !그런데 2-2 같은 경우 refresh token 을 쿠키에 굳이 안넣어도 된다는 말씀이신가요 ? ㅠㅠ

JohnMark · Answer

아 제가 질문을 잘못 봤네요 ㅜㅜ 아뇨 refreshToken 또한 클라이언트 단에서 저장하고 사용해야합니다. refreshToken 또한 유효기간을 설정해서 사용해야합니다. 서비스 정책 마다 다르지만 보통 2주 정도 사용합니다. refresh 토큰이 노출 되어도 2주후에는 만료가 되고, 리프레쉬 토큰을 얻기 위해선 사용자의 로그인 아이디와 비밀번호를 알아야하기 때문에 불가능합니다. 너무 어렵게 생각하실 필요없습니다. accessToken과 refreshToken은 로그인 이후, 즉 클라이언트 인증이 완료된 시점에 내려지는 값입니다. 로그인 이후 사용되는 토큰(JWT)들의 노출 이슈는 토큰의 유효기간 설정과 여러 가지 방법 (refresh token에 client ip를 넣어 검증을 한다거나, 토큰 내부 데이터를 AES 암호화 한다거나)를 통해 해결이 가능합니다. 기본적으로 https는 설정되어있어야한다는 가정입니다 ㅎㅎ;

임챙 · Answer

JohnMark 선생님 ! access 역시 로그인 아이디와 비밀번호를 알아야 얻을 수 있는데 refresh 는 오래 노출 되어도 되는 이유가 궁금합니다! 그리고 첫번째 답변에 선생님께서'모든 request마다 반드시 해당 필드에 인증 토큰을 넣어줘야합니다. 헤더 필드에 매번 들어가는 부분이기에 공통 코드로 뺴서 구현하는 경우가 있습니다. '라고 하셨는데 이 말씀은 제가 질문했던로그인 성공 시 response Authorization에 넣음(response header에 남음) -> 다른 페이지로 이동함(header Authorization 없어짐) 이 아니라 로그인 성공 시 response Authorization에 넣음(response header에 남음) -> 다른 페이지로 이동하기 전 Authorization 에 다시 넣음(이 부분을 공통코드로 작성)요런식으로 해야한단 말씀이신가요?

jwt 제가 이해한게 맞는지와 궁금한 점에 질문드립니다 !

4개의 답변

Q&A 목록