Bearer 토큰 인증 시스템과 JWT 인증 시스템의 차이점이 뭔가요??

Question

안녕하세요얼마전에 좀 규모있는 스타트업 면접에서 받았던 질문입니다 &#34;본인이 인증 시스템을 Bearer 토큰으로 인증을 처리하는 시스템을 만들어보세요&#34; 대답하던 도중에 JWT 토큰을 생성해서 Bearer 토큰으로 인코딩하여 응답해더로 보낸다 라고 얘기했는데 &#34;JWT 토큰 말고 Bearer 토큰이요&#34; 라는 말씀을 하셨습니다 저는 JWT 토큰이 Bearer 토큰의 일종이고 payload에 좀 더 많은 데이터를 담고 있는 토큰이라고 알고 있었는데 뭔가 Bearer 토큰으로 인증 시스템을 구축하는 것과 JWT로 인증 시스템을 구축하는 차이가 있을까요?

하루의_spring · Answer

? 그 사람이 잘못알고 있는거 같은데 뭐가 다른가요혹시나 저도 잘못알고 있을 수도 있으니 와드 박고 갑니다

Nashiba · Answer

Bearer는 header의 Authorization 앞에 붙는 수식어 입니다. 꼭 붙일 필요는 없습니다.JWT 는 header body signature 로 위뤄진 JSON Web Token의 약자로 내부에 데이터를 담고 이를 서명하는 식으로 인증하는 값입니다.JWT로 값을 뽑아서 그 문자열을 Header에 넣을 때 &#34;Authorization&#34; : &#34;Bearer xxxxxxxxx...&#34;로 넣는게 보통입니다.JWT는 암호화 기술이 아니라 인증 기술 입니다. 즉 JSON 내용은 누구나 볼 수 있으니 로직은 잘 짜시길 바랍니다.결론: JWT, Bearer 실질적으로는 같은 말 입니다.

rodi on July 12th · Answer

우리에게는 챗버지가 있죠.

Constant · Answer

인코딩한다..? 응답헤더로 보낸다..?

1층 · Answer

https://www.rfc-editor.org/rfc/rfc6749#section-10.3This specification does not provide any methods for the resource server to ensure that an access token presented to it by a given client was issued to that client by the authorization server.일단 OAuth2.0 RFC 문서에는 Access Token에 대한 확인 방식은 별로 중요하지 않은듯합니다Bearer 타입에 대한 사용예는 있지만: https://www.rfc-editor.org/rfc/rfc6750해당 RFC 문서는 당연하게도, 현재 Bearer 인증에 대한 구현체 목록에 대해선 알려주지 않습니다, 그래서도 안될테구요...Swagger의 Bearer 에 대한 설명도 참고해보았습니다: https://swagger.io/docs/specification/authentication/bearer-authentication/The bearer token is a cryptic string, usually generated by the server in response to a login request.주로 로그인 리퀘스트시 리스폰스로 서버에서 만들어서 주는 암호를 사용한 문자열이라네요굳이 JWT가 아니어도 유저를 식별할 방법만 있다면 Bearer 구현엔 문제가 없을것같긴합니다뭐 하지만, JWT만큼 효율적인 토큰은 저는 못본것같네요, 다른 방식으로 구현하자면 세션 느낌의 저장소 (레디스나 DB가 될수도 있겠네요) 에다가 유저의 인증 키 발급 내역을 기록해놨다 확인하는 방식정도밖에 안떠올라서...

Bearer 토큰 인증 시스템과 JWT 인증 시스템의 차이점이 뭔가요??

5개의 답변

Q&A 목록