Spring boot SSR에서는 JWT를 지양하는 이유?

Question

SSR 기반으로 클라이언트를 구성하던 도중에 JWT이용해 인증/인가 처리를 하려고 했습니다. 그런데 해당 방식으로 구현한 소스를 찾아보는데 SSR에서는 JWT를 이용하는 방식보다는 세션을 이용해 처리하는 방식이 더 좋다고 하는데 왜 세션방식을 사용하는지 알 수 있을까요. JWT를 쿠키에 저장해도되는데 왜 세션 방식을 사용하는지 이해가 안됩니다. 보안 상으로 쿠키에 저장하면 안좋다라고 하는 글도 많은데 LocalStorge 방식이나 Cookie 방식이나 보안상 문제는 필연적이라 선택의 영역이라 생각하고 있어서 그런지 잘 이해되지는 않았습니다. (LocalStorge를 SSR에서는 사용할 수 없다는 것은 알고 있습니다) SSR에서 JWT를 사용한다면 API와 페이지 이동 로직을 분리 구현해야되서 복잡해지고 이러한 점이 SSR 방식에는 이점이 없어서 사용하지 않는것인지 보안상 혹은 다른 특별한 이유가 있어 사용하지 않는 것인지 잘 모르겠습니다. 뭔가 여러가지 내용들을 찾아 정리하다보니 지식이 난잡해져 갈피를 못 잡겠습니다... SSR 방식도 api가 필요한 모바일 영역까지 확장하게 된다면 결국 api 로직을 작성해야되고 이렇게되면 SSR방식에서도 JWT를 사용하는 것도 좋아보이는데 이런 내용까지 다루는 글을 검색 능력이 부족해서인지 보지는 못한 것 같습니다 ㅠㅠ

Bluebell · Accepted Answer

더 쉽고 과장해서 요약하연 jwt가 자동로그인에 사용되는 건데요. 스프링시큐리티에서 remember me 기능 제공해주는데도, 응~ 난 힙하니까 jwt 사용할꺼야!하는 느낌 이니까요

테스트맨 · Answer

Spring Boot SSR에서 JWT를 지양하는 이유Spring Boot SSR(Server-Side Rendering)에서 JWT(JSON Web Token)를 사용하지 않는 데에는 몇 가지 이유가 있습니다.1. 성능 저하JWT는 서버 측에서 서명 및 검증해야 하는 암호화 토큰입니다.SSR에서는 매번 클라이언트 요청에 응답할 때 서버에서 JWT를 처리해야 합니다.이는 추가적인 연산 오버헤드를 발생시켜 성능 저하를 초래할 수 있습니다.2. 보안 취약점JWT는 자체적으로 암호화되지 않기 때문에 토큰 자체가 유출되면 보안 위험에 노출될 수 있습니다.또한, JWT는 서명 알고리즘에 취약점이 존재할 수 있으며, 이는 공격자가 토큰을 위조하거나 변조할 수 있게 해줍니다.3. 클라이언트 측 스토리지 문제JWT는 일반적으로 클라이언트 측 스토리지(예: Local Storage)에 저장됩니다.하지만, 이는 XSS 공격과 같은 클라이언트 측 공격에 취약할 수 있습니다.또한, 클라이언트 측 스토리지 용량에 제한이 있을 수 있으며, 이는 큰 JWT 토큰을 저장하는 데 문제가 될 수 있습니다.4. 더 나은 대안 존재Spring Boot SSR에서는 JWT 대신에 다른 인증 및 권한 부여 방법을 사용할 수 있습니다.예를 들어, OAuth2와 같은 표준 프로토콜을 사용하거나, 세션 기반 인증을 사용할 수 있습니다.이러한 대안들은 JWT보다 더 나은 성능, 보안 및 유연성을 제공할 수 있습니다.5. SSR 특성과의 부적합SSR은 클라이언트에게 정적 HTML 페이지를 전송하는 방식으로 작동합니다.JWT는 동적인 토큰이며, 이는 SSR의 정적 특성과 부적합할 수 있습니다.또한, JWT는 클라이언트 측 JavaScript에서 처리해야 하는데, 이는 SSR 환경에서 어려울 수 있습니다.결론Spring Boot SSR에서 JWT를 사용하지 않는 것은 성능, 보안, 클라이언트 측 스토리지 문제, 더 나은 대안 존재, SSR 특성과의 부적합 등 여러 가지 이유 때문입니다. SSR 환경에서는 JWT보다 더 적합한 다른 인증 및 권한 부여 방법을 사용하는 것이 좋습니다.

kenu · Answer

트래픽이 적으면 (동접 300명 동시 접속시에, GA기준 30분간 9000세션) jwt 거의 필요없다고 생각합니다.아키텍처는 트래픽과 환경에 따라 변할 수 밖에 없으니까요.

Spring boot SSR에서는 JWT를 지양하는 이유?

3개의 답변

Q&A 목록