jwt 토큰 사용시 url path에 id 값을 전달하는 것에 대해

Question

안녕하세요 현재 jwt 토큰 기반의 인증 인가를 구현해놨습니다.다름이 아니라 토큰 검증시에 해당 토큰의 만료 여부를 검증하고 만료되지 않으면 인증객체에 저장하는 방식으로 필터를 구성했습니다.그렇다면 토큰이 유효한 경우에 그 토큰이 부여받은 권한에 접근할 수 있는데,만약에 USER 권한을 가지고 있는 상태로 토큰 값이 있을때, 해당 유저가 팔로우한 크리에이터를 조회하는 로직이 있다고 할때,컨트롤러는@RestController @Slf4j @RequiredArgsConstructor public class FollowController { private final FollowService followService; // 회원이 팔로우한 크리에이터 조회 @GetMapping("/user/{user-id}/following") public CommonResponse> getFollowingList(@PathVariable("user-id") Long userId) { return CommonResponse.success(followService.getFollowingList(userId)); } }이와 같습니다. 다만 궁금한점이 pathvariable로 다른 user의 id를 전달하는 경우에 다른 user의 팔로우 목록을 조회할 수 있게 됩니다. 서비스가 의도하는 것은 다른 user의 팔로우 목록은 조회하면 안됩니다.이런경우에는 두가지 방법으로 다른 유저의 팔로우 목록 조회를 막을 수 있다고 생각합니다.url에 pathvariable을 쓰지 않도록 하고, 인증객체에서 user를 load 해오는 방식을 쓴다.해당 url을 유지하고 서비스 로직 내에서 토큰의 user와 pathvariable user를 비교한다여기서 궁금한 점이 생깁니다. 해당 url은 rest api와 같이 /계층/id 같은 형식으로 구현한 path 입니다. 이런 문제가 발생하는 경우에는 rest api와 같이 계층형으로는 구성을 하면 안되는 것일까요??

JethroHolic · Answer

jwt 토큰 내에 user id 넣고 컨트롤러에서 빼세요.토큰이 유효한 경우(유저가 인증된 경우), 토큰 내에 있는 user id 빼서 조회하세요

jwt 토큰 사용시 url path에 id 값을 전달하는 것에 대해

1개의 답변

기술 목록