Token.md

Token 🎫

1. Token 이란?

• 토큰이란

  • 인증과 권한 정보를 담고 있는 암호화된 문자열
  • 특정 애플리케이션에 대한 사용자의 접근 권한 부여 가능
  • 토큰을 사용하면 사용자의 인증 정보를 서버가 아닌, 클라이언트 측에 저장 가능

• 토큰 인증 방식의 흐름

  1. 사용자가 인증 정보를 담아 서버에 로그인 요청
  2. 서버는 DB에 저장된 사용자의 인증 정보 확인
  3. 인증에 성공했다면 해당 사용자의 인증 및 권한 정보를 서버의 비밀 키와 함께 토큰으로 암호화
  4. 생성된 토큰을 클라이언트로 전달
     • HTTP 상에서 인증 토큰을 보내기 위해 Authorization 헤더 사용 or 쿠키로 전달
  5. 클라이언트는 전달받은 토큰 저장
  6. 클라이언트가 서버로 리소스 요청 시 토큰을 함께 전달
     • 토큰을 보낼 때에도 Authorization 헤더를 사용 or 쿠키로 전달
  7. 서버는 전달받은 토큰을 서버의 비밀 키를 통해 검증 (토큰 위조 여부와 유효기간 등 확인 가능)
  8. 토큰이 유효하다면 클라이언트의 요청에 대한 응답 데이터 전송

2. Token의 특징

• 토큰 인증 방식의 장점

  • 무상태성
    • 서버가 유저의 인증 상태 관리 X
    • 서버는 비밀키로 클라이언트가 보낸 토큰의 유효성만 검증하면 되기에 무상태적인 아키텍처 구축 가능
  • 확장성
    • 여러 개의 서버가 공통된 세션 데이터를 보유하지 않아도 됨
    • 따라서 서버 확장 용이
  • 어디서나 토큰 생성 가능
    • 토큰 생성과 검증이 하나의 서버에서 이루어지지 않아도 됨
    • 따라서 토큰 생성만을 담당하는 서버 구축 가능
  • 권한 부여에 용이
    • 인증 상태, 접근 권한 등 다양한 정보를 담을 수 있기에 사용자 권한 부여에 용이
    • 어드민 권한 부여 및 정보 접근 범위도 설정 가능

• 토큰 인증 방식의 한계

  • 무상태성
    • 토큰이 탈취되어도 해당 토큰을 강제로 만료시킬 수 없음
  • 유효기간
    • 유효기간을 짧게 설정하면 만료될 때마다 사용자가 로그인해야 하는 번거로움
    • 유효기간을 길게 설정하면 토큰 탈취 시 위험
  • 토큰의 크기
    • 많은 데이터를 담으면 토큰 크기가 커지므로 네트워크 비용 문제 생김

3. JWT (JSON Web Token)

• JWT란

  • JSON 객체에 정보를 담고, 이를 토큰으로 암호화하여 전송하는 기술
  • 클라이언트가 서버에 요청을 보낼 때, 인증정보를 암호화된 JWT 토큰으로 제공하고, 서버는 이 토큰을 검증해 인증정보 확인

• JWT의 구성

  • Header
    • 토큰 자체를 설명하는 데이터가 담겨 있음
  • Payload
    • 어떤 정보에 접근 가능한지 권한, 유저의 개인정보, 토큰의 발급 시간 및 만료 시간 등
  • Signature
    • 토큰의 무결성 확인 가능
    • Header와 Payload가 완성되었다면, 서버의 비밀 키(암호화에 추가할 salt)와 Header에서 지정한 알고리즘을 사용하여 해싱

4. Access Token과 Refresh Token

• 액세스 토큰(Access Token)
  • 서버에 접근하기 위한 토큰
  • 보안을 위해 24시간 정도의 짧은 유효기간
• 리프레시 토큰(Refresh Token)
  • 서버 접근이 아닌 액세스 토큰 만료시 새로운 액세스 토큰을 발급받기 위해 사용되는 토큰
• 정리
  • 액세스 토큰이 만료되더라도 리프레시 토큰의 유효기간이 남아있다면 사용자는 다시 로그인을 할 필요 없이 지속해서 인증 상태를 유지 가능
  • 다만, 토큰의 긴 유효 기간 동안 해킹의 위험성도 있음
  • 이를 대비하기 위해 리프레시 토큰을 세션처럼 서버에 저장하고 이에 대한 상태를 관리하기도 함