JWT는 어디에 저장해야 할까 🤔

[peacemaker474]

서버로부터 받은 AccessToken과 RefreshToken을 어디에 저장하고, 어떻게 활용할 것인가? 에 대한 주제를 가지고 각자 의견을 달아주시면 좋을 것 같습니다.

[peacemaker474]

RefreshToken - Cookie
AccessToken - Javascript Variables (Jotai Store)

저렇게 저장하고, 사용하면 좋을 것 같다는 의견이고, 정리하면 3가지 정도가 될 것 같습니다.

1. DX 측면이 아니라, 사용자 측면에서 보안을 조금 더 중점적으로 생각했습니다.
2. 모먼트 서비스 자체가 인물 사진을 많이 다루다보니, 개인 정보와 연관되는 부분이라 민감할 거라고 생각했습니다.
3. 매번 네트워크 요청을 보낼 때마다, Request Header에 Access Token을 담아두어야 하는 번거로움이 있지만, XSS와 CSRF에 어느 정도 대응이 가능하다고 생각합니다.

[kmin-jeong]

access token 재발급 시간이 길지만 않다면 쿠키나 로컬이나 둘다 취약점은 있으니까 로컬 스토리지에 refresh token을 저장하는 것도 좋을 것 같아요.

[peacemaker474]

네넵! 마지막으로 액세스 토큰 재발급하는 API를 확인했는데, 유저 정보는 따로 주고 있지 않아서 액세스 토큰 발급시 같이 전달받아야 할까요?
아니면, 리프레쉬 토큰과 같이 로컬 스토리지에 저장을 해야할까요?

[kmin-jeong]

아무래도 두 토큰을 같은 곳에 저장해두면 로컬스토리지에서 탈취할 때 둘다 털릴 수 있으니까 차라리 엑세스 토큰을 로컬스토리지에 저장하고, 리프레시 토큰을 쿠키에 저장하는건 어떻까요?

[peacemaker474]

아, 제가 말한건 액세스 토큰이 아니라 유저 정보였습니다. 유저 닉네임이나 이메일 정보요!

[kmin-jeong]

아! 제가 말 뜻을 잘못 이해했네요. 그러면 엑세스 토큰 발급시 같이 전달 받는게 좋을 것 같아요!

[peacemaker474]

전체적으로 정리하겠습니다.

RefreshToken - 로컬 스토리지
AccessToken - Javascript Variables (Jotai Store)

위와 같이 JWT 토큰을 저장하고, 사용하는 방향으로 가겠습니다.

1. 리프레쉬 토큰 저장을 로컬 스토리지와 쿠키 중 고민하였고, 접근성 측면에서 생각했을 때 로컬 스토리지가 더 낫다고 판단하였습니다.
2. 리프레쉬 토큰은 오로지 액세스 토큰 발급을 위한 토큰이며, 액세스 토큰은 매 요청마다 헤더에 넣어서 사용자를 식별합니다.
3. 브라우저 새로고침시, 해당 유저를 확인하기 위해 로컬 스토리지에 저장된 리프레쉬 토큰을 기반으로 액세스 토큰 재발급을 요청하여 Jotai Store에 저장하겠습니다!

[kmin-jeong]

좋습니다!