[질문] sooloin 9주차

[WhiteBin-bin]

🗓️ 관련 주차

Week09

📌 학습 주제

인증, 인가, 웹 보안

👤 담당자

조수빈

🔑 주요 키워드

• Authentication
• Authorization
• Hash
• Encryption
• JWT
• OAuth
• CORS
• XSS
• CSRF

🧷 질문 작성 규칙

• 질문은 이슈 본문이 아니라 댓글로 작성합니다.
• 하나의 댓글에는 하나의 질문만 작성합니다.
• 답변은 해당 질문 댓글에 대댓글로 작성합니다.
• 추가 질문이 있다면 같은 댓글 스레드에서 이어서 논의합니다.
• 참고 자료가 있다면 질문 댓글 하단에 함께 첨부합니다.

[WhiteBin-bin]

❓ 질문 내용

JWT 기반 인증에서는 서버가 세션처럼 사용자별 인증 상태를 직접 저장하지 않아도 된다고 하는데, 그렇다면 사용자가 로그아웃했을 때 아직 만료되지 않은 Access Token은 어떻게 무효화할 수 있나요? 또한 Access Token과 Refresh Token을 함께 사용하는 경우 두 Token을 각각 어떻게 관리해야 하는지 궁금합니다.

🧩 헷갈리는 부분

JWT는 서버가 별도의 세션 정보를 저장하지 않는 Stateless 방식으로 사용할 수 있다고 이해했습니다. 그런데 이미 발급된 Access Token은 만료 시간이 지나기 전까지 자체적으로 유효한 정보를 가지고 있기 때문에, 사용자가 로그아웃하더라도 해당 Token을 바로 사용할 수 없게 만드는 것이 어려워 보입니다.

특히 탈취된 Access Token이 남아 있는 상황에서 Refresh Token만 삭제하면 충분한 것인지, 아니면 Access Token까지 서버에서 별도로 관리해서 차단해야 하는지 헷갈립니다.

💭 내가 이해한 내용

Access Token은 실제 API 요청에 사용하기 때문에 비교적 짧은 만료 시간을 설정하고, Refresh Token은 Access Token이 만료되었을 때 새로운 Access Token을 발급받기 위해 사용한다고 이해했습니다.

따라서 로그아웃 시에는 Refresh Token을 삭제하거나 무효화하여 새로운 Access Token이 발급되지 않도록 할 수 있지만, 이미 발급된 Access Token은 만료되기 전까지 사용할 수 있을 수 있다고 생각했습니다.

이를 즉시 차단하려면 서버에서 로그아웃된 Token을 별도로 관리하는 Blacklist 방식 등의 추가적인 전략이 필요할 수 있다고 이해했습니다.

🎯 원하는 답변 방향

• JWT가 Stateless하다고 하는 이유
• JWT 기반 인증에서 로그아웃을 처리하는 방법
• Access Token과 Refresh Token의 무효화 방식 차이
• Token Blacklist를 사용하는 경우의 장단점
• 실제 서비스에서 Access Token 탈취에 대응하는 방법

🔗 참고 자료