react - springboot jwt 토큰 헤더 저장 관계

Question

안녕하세요현재 협업 프로젝트를 진행중인데 궁금한 점이 있어서 이렇게 질문드립니다현재 로그인을 jwt 토큰을 활용하여서 진행하려합니다1) 프론트에서 id, password 전달2) 백단에서 로그인 정보 확인 후 accessToken, refresh 토큰 생성 3) 해당 access 토큰으로 권한 체크 및 토큰 유효시간 체크 후 권한 or 유효시간 만료 시 403, 정상 응답 시 해당 데이터 전달까지는 이해를 하였습니다만데이터를 정상 전달 할 시 헤더에 백단에서는 accessToken을 저장하여 보냅니다질문 드리고 싶습니다)1) 백단에서 accessToken을 헤더에 저장해서 보내줍니다. 이 토큰을 프론트에서 어떠한 조치도 하지 않아도 헤더에 그대로 저장이 되어있나요?? 아니면 로그인 시 accessToken을 헤더에 저장해줘야할 필요가 있는건가요?2) refresh 토큰은 accessToken의 유효시간이 만료 되었을 때 새로운 access 토큰을 저장 받기 위해서 사용되는 것으로 알고 있습니다. 그렇다면 이 refresh 토큰은 어디에 저장하는게 맞는건가요? accesstoken과 함께 프론트로 전송 or DB에 저장3) 보통 이 인가방식을 어떤식으로 진행하시는지 그 방향성을 못잡고 있습니다. 정말 부족한 지식이라 질문도 이상하실 수 있지만 알려주시면 주신 지식으로 공부해서 다시 질문올리겠습니다. 방향성이라도 제시해주시면 감사드리겠습니다

kotliner · Answer

1) 프론트에서 모든 요청마다 넣어줘야합니다. 왜냐하면 해당 토큰으로 유저를 안전하게 식별할 수 있기 때문이죠.2) 왠만하면 백, 프론트 모두 저장해두어야합니다. 프론트에서 액세스토큰 만료시에 리프레쉬토큰으로 액세스토큰을 발급받으면 됩니다. 나눠둔 이유는 통신구간에서의 탈취를 고려한 보안적인 이유입니다.3) jwt에 유저의 정보가 있으니 모든 요청에 jwt를 헤더로 보내서 유저를 식별하고 요청마다 유저가 할 수 있는 행위인지 검증하면 됩니다. 예를들어 다른 유저의 개인정보에 임의로 접근하려고하면 jwt가지고 자신이 맞는지 검증해서 막아야합니다.

react - springboot jwt 토큰 헤더 저장 관계

1개의 답변

Q&A 목록