jwt refreshToken cookie 설정

Question

리프레시 토큰은 쿠키에 넣는게 좋다고 들어서 쿠키에 값을 넣어줬는데 다들 헤더에도 Set-Cookie로 값을 넣어주더라고요.그런데 굳이 저렇게 쿠키로 만들어 놓고 다시 헤더에 리프레시 토큰 값이 들어가 있는 걸 넣어주면 쿠키로 하나 안 하나 보안상 똑같은거 아닌가 하는 생각이 들어서 질문합니다.refresh token이 저렇게 그냥 대놓고 헤더에 들어가있는데 헤더에 넣어줘야되는 이유가 있는건가요?

kenu,전독시 · Answer

어디 문서로 가이드 받으셨나요?

캐티 · Answer

쿠키의 용도는 이거 아니지 않나요. 물론 머 일시적으로 서버에 키 값을 전달하기 위하여 사용 할 수 있을 것인데요. 거의 하지 않은 것이지 않겠나요. 이것도 아니면 특정 경로에서 쿠키 값이 전달하도록 할 수 있을 것이어요. 이렇게 하면 새 토큰을 받는 경로에서 별도에 데이터 저장 없이 할 수 있겠는데요. 이런 동작을 하는 경우에 좋다는 것을 완전하게 이해하지 않은 것은 아니나요.

김을동 · Answer

개인적으론 인증은 헤더를 이용하는게 좋다고 생각합니다

カワウソ · Answer

보안적이다라는 관점이 어디까지인지 모르겠으나 완벽한 건 없습니다. 서버에서 응답 헤더의 Set-Cookie로 전달한 것을 쿠키로 저장한다는 건 정해진 스펙이고 브라우저는 이를 따르고 있습니다. 그러니까 별다른 과정을 거치지 않더라도 쿠키에 반영할 수 있다는 의미로 생각할 수 있습니다.또한, 이제는 HTTPS가 기본이라는 인식이 있고 쿠키의 경우 Secure와 HttpOnly 속성에 의해 브라우저에서 자바스크립트를 통한 접근을 제한한다는 보안 관점이 기본이 됩니다.

jwt refreshToken cookie 설정

4개의 답변

Q&A 목록