JWT에서 블랙리스트를 사용하는 이유가 잘 이해되지 않습니다. jwt는 Stateless 장점이있는데 왜 Redis 같은 저장소를 써서 상태를 관리하나요?

Question

저는 JWT는 일반적으로는 stateless 인증 방식이라고 알고 있습니다. 그런데 로그아웃에서 JWT를 블랙리스트에 등록하고 Redis에 저장해서 매 요청마다 해당 토큰이 블랙리스트에 있는지 확인하는 방식도 사용하는 것을 보았습니다.이 경우, 결국 토큰 상태를 서버에서 확인해야 하니 stateless의 장점이 사라지는 건 아닐까? 라는 의문이 들었습니다.JWT의 장점이 stateless인데, 블랙리스트를 도입하면 결국 stateful해지는 것 아닌가요?이런 방식이 실무에서도 자주 쓰이는지, 아니면 제가 잘못 알고 있는건지 궁금합니다.

hieroglyphs · Answer

JWT 발급 시점에서 블랙리스트여부를 따져야하지 않을까요?

으헝러헝헝 · Answer

로그아웃때문이지요.뭐가 되었던 사용자가 로그아웃을 했는데 토큰의 유효기간이 만료되지 않으면 토큰자체는 살아있기 때문이죠그래서 사용자가 로그아웃을 해도 토큰의 유효기간이 만료되지 않았으면해당 토큰을 탈취한자는 계속 API 서비스를 이용할 수 있는거죠그래서 그렇습니다.

듀부 · Answer

음 기본적으로 jwt는 복호화 후에 유효한지를 확인해서 1차적으로 서버 부담을 줄이죠실제로 세션 방식일 경우 서버측에 회원 정보로 담아두는 데이터가 더 많을 것이고, 이를 캐싱해서 관리하는 것보다 jwt가 유효한지 안 한지 정도만 확인하면 세션id를 비교하는 부담은 동일하나, 사용자 정보를 서버측에 저장하지 않아도 되니 jwt를 사용하는 거로 알고 있어요.즉 jwt의 장점만 쓴다기 보다 jwt의 단점(토큰 탈취 및 로그아웃) 시 세션방식을 병합하여 최대한 서버측 부담을 덜어 사용하는 것으로 알고 있어요.

컴포지트 · Answer

아니오. 블랙리스트는 세션에 대한 상태관리가 아니라 단순한 필터링입니다. 위 답변한 대로의 문제 해결을 위해 존재하고, 그리고 Stateless 단점이기 때문에 이를 보완하려는 하나의 수단이죠.자주 쓰입니다. 보안은 기본적으로 아무도 믿지 마라 입니다.서버에서 JWT 토큰을 관리하는 이유는 간단합니다. JWT에게 상태관리를 주려는 목적이 아니라, JWT의 Stateless 단점을 극복하기 위해 있는 거죠. 하지만 그렇다고 서버에서 JWT Payload 를 변경하지 않습니다. 만약 변경이 필요할 경우, 기존 사이닝을 폐기하고 아예 새로 주는 방법이 있습니다. 이러면 Stateless 존재 의의를 유지할 수 있으니까요. Payload를 변경하려는 순간 상태관리가 되기 때문에 JWT의 의의가 퇴색되죠.

Kyeongrok Kim · Answer

사용자가 별로 없는 경우 db로 구현 해도 됩니다. db로 하면 dev환경에 토큰 인증 용도로 redis안띄워도 되는 장점이 있습니다.운영도 초기에는 유저가 별로 없기 때문에 db로 하고 있다가 유입 많아지면 그 때 redis로 가도 됩니다.

カワウソ · Answer

딱히 방안이 없기 때문이죠. 초기 인증 설계와 달리 로그아웃(보안 이슈)이라는 뒤늦은 요구사항이 오기 때문 ㅎ

닉네임은최소20자 · Answer

jwt 는 Stateless 하다는 조건부터 틀린것 같은데요.서버가 상태값을 가지고 있지 않다고 하지만jwt 를 전달받은 서버는다른 인증서버의 기능을 사용해야 하고 결국 상태값을 관리해야 합니다.따라서 jwt stateful 합니다.https://chatgpt.com/share/67e12ab8-00e4-8012-b68f-02c713856224

개발잡부 · Answer

그냥 세션방식입니다.다만 세션을 Redis에서 관리하기때문에, 세션 유지시간 관리가 쉽고,스케일아웃도 쉽고,성능도 빠릅니다.

WLM · Answer

다른 분들이 다 대답해주셨네요저도 거기에 최대한 서버 부하를 줄일 수 있는 부분을 좀 얹자면서버가 상태를 관리하더라도 JWT가 스냅샷으로 스스로 상태를 저장하고 있는 부분은 여전히 유효함위를 이용해 블랙리스트를 순회하는 동작을 최대한 줄일 수 있는 방법 고민해보기-> 매 API 요청마다 블랙리스트를 순회하도록 할 필요는 없습니다-> 자료구조 개선도 도움이 될거에요-> 블랙리스트의 모수를 줄이는 방법도 유효하겠죠?

wharup · Answer

사용자가 로그아웃하면 JWT를 폐기해서 다시 사용하지 못하도록 해야하는데JWT만으로는 구현할 수 없으니 폐기된 JWT 목록을 별도로 저장하는 거지요.다만 블랙리스트를 관리하기 위해 매 요청마다 Redis를 확인하는 건세션 저장소 방식과 대동소이하기 때문에 아쉬운 점이 있는게 사실입니다.

dev11111 · Answer

중복로그인/로그아웃 처리를 위해서는 상태관리가 필요한데 그럼 stateful 하게 되죠.그래서 상태저장을 외부 저장소에 위임해서 관리하는거죠.시스템관점에서 보면 stateful 하지만 application 관점에선 stateless를 유지한다고 볼수있습니다.

JWT에서 블랙리스트를 사용하는 이유가 잘 이해되지 않습니다. jwt는 Stateless 장점이있는데 왜 Redis 같은 저장소를 써서 상태를 관리하나요?

11개의 답변

Q&A 목록