Refresh Token이 만료된다면, 재발급 VS 재로그인?

Question

Refresh Token의 만료기간을 Access Token보다 더 길게 설정하였고, 만약 Refresh Token이 만료된다면 Refresh Token을 재발급하는 것이 맞는지 아니면 재로그인을 하도록 에러처리를 하는 것이 맞는지 궁금합니다.. 추가로 Access Token이 유효하고 Refresh Token이 만료된 상황을 어떻게 처리할지도 알고싶습니다

カワウソ · Answer

리프래시 토큰을 제공하는 목적 자체가 액세스 토큰을 재발급 받기 위해 사용되는 것이므로 리프래시 토큰 자체가 만료된다면 다시 로그인하여 올바른 사용자에 의한 발급인지를 검증하는게 올바른 방향 같습니다.추가 질문에 대해서는 액세스 토큰이 유효하더라도 리프래시 토큰이 만료되었으므로 추가 재발급이 불가능한 상황일 뿐입니다.

Galneryus · Answer

Access Token이 유효하지만 Refresh Token이 만료된 상황이라면 별다른 처리가 없어도 될 것 같네요. Refresh Token이 만료된다면 로그인으로 재검증이 맞다고 생각합니다

심심하다능! · Answer

개념을 잘못 이해하고 계신 듯 하네요. 액세스토큰을 길게 하면 리프레시토큰이 불필요합니다. 그러나 보안 위험에 노출이 되기 때문에 액세스토큰을 짧게 잡고, 대신 리프레쉬토큰으로 긴 시간의 로그인을 유지하려 하는 겁니다. 결론... 첫번째 리프레쉬토큰이 만료되면? 재로그인을 시킨다. 두번째 새로 발급받은 액세스토큰의 만료가 되지 않을 경우엔 리플레쉬토큰을 검증할 필요없으므로 만료가 되든 말든 상관없습니다. 어차피 짧은 액세스토큰이 곧 만료가 될 것이고, 머지않아 재로그인을 할 수 밖에 없습니다.

Refresh Token이 만료된다면, 재발급 VS 재로그인?

3개의 답변

Q&A 목록