[ jwt ] AccessToken과 RefreshToken

참고 사이트

• https://puleugo.tistory.com/138

 

 

---

🎫AccessToken과 🪪RefreshToken

• AccessToken: 서버 API를 직접 요청할 때 사용한다.

• RefreshToken: 액세스 토큰이 만료되었을 때 액세스 토큰을 재발급할 목적으로 사용한다.

 

🧑🏻‍❤️‍👩🏻분리 목적

클라이언트와 서버 간의 API 통신 중, 토큰이 해커에게 유출될 수 있기 때문이다.

 

따라서, 직접 API를 호출하는 액세스 토큰의 주기는 짧게 설정하고 (약 1시간)

액세스 토큰을 재발급하는 리프레시 토큰의 주기는 비교적 길게 설정한다. (약 2주)

 

이렇게 된다면 액세스 토큰이 유출되더라도 만료 주기가 짧아 피해를 조금이나마 줄일 수 있다.

 

💻    개발

액세스/리프레시 토큰 방식은 중간에 탈취 당하는 케이스를 고려하고 있다.

그래서 액세스 토큰 안에는 중요한 값은 넣지 않는다.

다만, RefreshToken은 탈취 당할 수 있으니, 클라이언트에서 안전하게 저장하는 방식으로 개발이 진행된다.

 

따라서 토큰에는

• 탈취 당할 시, 중요하지 않은 데이터

• 서버에서 유저(데이터)를 식별할 수 있는 데이터

 

로 개발이 진행된다.