스프링 숙련 3주차 : JWT

JWT

Json Web Token 이란, JSON 포맷을 이용하여 사용자에 대한 속성을 저장하는 clain 기반의 Web Token
즉, 토큰의 한 종류
일반적으로 쿠키 저장소를 사용하여 JWT 저장

사용 이유

1. 서버가 1대인 경우
   

• Session1이 모든 client의 로그인 정보를 소유

2. 서버가 2대 이상인 경우

• 서버의 대용량 트래픽을 처리를 위해 서버 2대 이상 운영이 필요
  

• Session 마다 다른 Client 로그인 정보를 가지고 있을 수 있음

• 만약 Client1의 로그인 정보를 가지고 있지 않은 Server2 나 Server3에 API 요청을 하게 되면?

  • 해결 방법
    1) Sticky Session : Client 마다 요청 Server 고정
    2) 세션 저장소를 생성하여 모든 세션 저장

3. 세션 저장소 생성
   

• Session Storage 가 모든 Client의 로그인 정보 소유하고 있기 때문에 모든 서버에서 모든 Client의 API 요청 처리 가능

4. JWT 사용

• 로그인 정보를 Server에 저장하지 않고, Client에 JWT로 암호화하여 저장 -> JWT 통해 인증/인가
  

• 모든 서버에서 동일한 Secret key 소유

• Secret Key를 통한 암호화/위조 검증(복호화 시)
  

JWT 장/단점

• 장점

  • 동시 접속자가 많을 때 서버 측 부하를 낮춤
  • client, server가 다른 도메인을 사용할 때
    • EX) 카카오 OAuth2 로그인 시 JWT Token 사용

• 단점

  • 구현의 복잡도 증가
  • JWT에 담는 내용이 커질수록 네트워크 비용 증가(클라이언트 -> 서버)
  • 기 생성된 JWT를 일부만 만료시킬 방법이 없음
  • Secret Key 유출 시 JWT 조작 가능

사용 흐름

1. Client 가 로그인 성공
   1. 서버에서 "로그인 정보" -> JWT로 암호화(Secret Key 사용)
   2. 서버에서 직접 쿠키를 생성해 JWT를 담아 Client 응답에 전달
      • 전달방법은 개발자가 설정
   3. 브라우저 쿠키 저장소에 자동으로 JWT 저장
2. client에서 JWT를 통해 인증 방법
   1. 서버에서 API 요청 시 마다 쿠키에 포함된 JWT를 찾아서 사용
   2. Server
      1. Client가 전달한 JWT 위조 여부 검증(Secret Key 사용)
      2. JWT 유효기간 검증
      3. 검증 성공 시, JWT 에서 사용자 정보를 가져와 확인