현업에서 JWT 사용할때 Authorities (권한)

Question

token 에 subject 에 userId 심고 Payload(Claim) 에 Authorities 에는 권한을 심으려고하는데 gpt 가 선호하지 않는다고 해서요..그러면 JWT 를 사용하는 이유가 뭘까 고민되네요, 단지 유저의 아이디만 저장하기보단 유저의 권한에 따라 이용할수있는 API 도 다른데, 매번 verify 할때 유저의 권한은 별도로 가져와야한다면, 세션을 쓰는 것과 차이점이 없지 않을까요? 현업에선 어떻게 사용하나요?

초무쿤 · Answer

인증(authentication)만 JWT로 하고 인가(Authorization)는 토큰 빌급시 memcache나 redis같은 빠른 저장소에 넣던지 (캐시서버 운용이 부담)Claims 위변조 방지를 위해 역시 캐시저장소에 넣고 요청시 발급해준 토큰이 맞는지 확인(역시 캐시버서 운용부담)Nested JWT ?? (뭔 용어가 있는데 까먹음) claims 내용 자체를 디른 키로 중복 암호화(3DES처럼요)작정하고 댐비면 시간이 걸릴뿐 답이 있겠습니까만시스템에서 요구하는 보안수준에서 결정하시는것이.. (저같은 경우는 아주 크리티컬한 경우 아니면 그냥 씁니다. )Ps. Server 2 server API에선 stateless라 세션이 없으니…

カワウソ · Answer

권한이 세분화 되어있어 JWT 페이로드가 무작정 커지는게 아니라면 상관없을 것 같은데요.https://www.baeldung.com/spring-security-map-authorities-jwt

KarlStyner · Answer

JWT는 원래 그렇게 쓰라고 만들어진 놈입니다.권한값이 뭔지 알아서 변조하려고 해봐야 인증과정에서 디코드 안되어서 막힐테니까요.원래 그렇게 쓰라는 놈을 괜리 이리저리 꼬아서 복잡하게 만드시는것보다그냥 쓰시는걸 추천드리고찝찝하면 JWT가 아닌 방향으로 선회하시는게 낫습니다.

현업에서 JWT 사용할때 Authorities (권한)

3개의 답변

Q&A 목록