JWT Token 관리

[dmdgpdi]

저희가 논의했던 방식은 refresh token과 access token을 모두 HttpOnly cookie로 설정하는 것이었습니다.
이 때 예상했던 문제점은 csrf 공격에 취약하다는 점과 프론트엔드에서 로그인 상태를 알 수 없다라는 점이었습니다.
이를 방지하기위해 필요하다면 csrf는 csrf token을 통해 막고, 로그인 유무를 파악할 수 있는 client cookie를 설정하는 것으로 문제를 해결하고자 했습니다.

JWT를 저장할 때, 저희가 논의한 방식이 아닌 access token은 인메모리, refresh token은 쿠키를 두는 방식은 어떻게 생각하시나요?
해당 방식은 API요청 실패시 토큰 리프레시를 통해 로그인 여부 등을 계속 업데이트하는 방식으로 로그인 상태를 확인할 수 있습니다.

[Gyaak]

@kimminkyeu @sangwonsheep
백엔드에서 같이 고민해봐야할 내용인것같아요..?

[sangwonsheep]

저는 이 방식도 좋다고 생각합니다. 백엔드 쪽에서 같이 논의해보도록 하겠습니다.
access token의 주기 더 짧게 부여한다면 위와 같은 방식도 좋다고 생각합니다.

[Gyaak]

인메모리가 http 헤더를 말씀하시는게 맞을까요?
그럼 access token은 http header, refresh token은 쿠키에 담아 보내면 되는걸까요?

[dmdgpdi]

네 맞습니다!