Access token 과 Refresh token

📕access token 이란?

• 사용자의 인증과 자원에 대한 접근을 위한 토큰이다.
• 사용자가 로그인을 성공하면 서버에서 해당 사용자에게 access token 을 발급해준다.
• access token 은 클라이언트의 안전한 저장소에 저장되어 인증된 요청시 헤더에 포함 되어 서버에 전달된 다.
• 이 토큰은 짧은 유효기간(30분 이내)을 갖고 만료 되면 갱신을 해야 한다.
• 서버는 이 토큰을 검증 하여 사용자의 신원을 확인하고 요청에 대한 권한을 부여한다.

📕refresh token 이란?

• access token 의 갱신과 세션 관리를 위해 사용되는 토큰이다.
• 사용자가 로그인을 사용하면 refresh token 을 함께 발급해준다.
• 일반적으로 access token 보다 긴 유효 기간을 갖으며 2주 정도로 설정된다. (서비스 성격에 따라 적절한 유효 기간을 설정해야 한다.)
• access token 과 마찬가지로 클라이언트는 안전한 저장소에 보관한다.
• access token 이 만료되면 클라이언트는 refresh token 을 이용하여 서버에 새로운 access token 을 요청한다.
• 서버는 refresh token의 유효성을 검증하고 유효한 경우 새로운 access token 을 발급하여 클라이언 트에게 전달한다.
• refresh token 은 JWT 일수도 있고 그냥 간단한 문자열 일 수도 있다.

refresh token은 access token 의 유효 기간을 짧고, 자주 재발급 하도록 만들어 보안을 강화하면서도 사용자에게 잦은 로그아웃 경험을 주지 않도록 하는 것이다.

📕refresh token의 한계

•Access Token 을 즉시 차단할 방법의 부재
refresh token이 access token 의 유효기간을 짧게 만들어 줄 수 있다고 해도 탈취 된 access 토큰이 유효한 그 짧은 시간 동안 악용될 수 있다는 위험이 존재한다.