모아모아 로그인 및 로그아웃 등 인증&인가 과정 정리

[tco0427]

[nan-noo]

굿굿

[nan-noo]

401에러가 오면 리프레시(4001 코드가 올 때 제외) + 리소스 재요청

[nan-noo]

팀 회의

• 리프레시 토큰과 액세스 토큰을 같이 쓰는 장점을 느끼기 어려움
  • 세션 방식과 크게 다른 점이 없음
    • 리프레시 토큰을 DB에 저장하고 있기 때문에 토큰 방식의 장점이 퇴색된다.
  • 리프레시 토큰이 탈취되어도 액세스 토큰을 재발급할 수 있는데, 장점이 있을까?
  • 사용자 경험을 위해서 도입했었는데, 액세스 토큰을 주기적으로 연장해주고 있기 때문에 리프레시 토큰이 굳이 필요 없음
  • 고려해야 할 예외 상황이 많아짐 - 구현이 복잡해짐

결론

• 액세스 토큰만 사용 + 사용자가 사용할 때 연장 + 만료시 로그아웃
• 로그인시 응답 바디에 accesstoken, expiredTime이 옴 -> 세션스토리지에 저장
• 클라이언트: 매 요청 보내기 전에 expiredTime을 확인해서 5분보다 많이 남아있으면 그냥 리소스 요청, 만료되기 5분 전이면 액세스 토큰을 다시 재발급 받은 후 리소스 요청
• 서버: 액세스 토큰 재발급 요청을 받으면 액세스 토큰을 연장 -> 응답으로 새로운 accessToken과 expiredTime을 다시 재전송
• 액세스 토큰이 완전히 만료되면 401 응답이 오고, 클라이언트는 로그아웃시킨다(accessToken과 expiredTime를 삭제)