230914 로그인 회의 (10:30 ~ 11:00)

[somsom13]

** 참여는 자율입니다.

회의 안건

• AT, RT 만료, 유효하지 않은 경우 어떻게 처리할 것인지 (응답, 쿠키 초기화 등)
• 로그아웃 시에 RT 처리
• 프론트에서 AT 만료 검사를 해도 괜찮은 지
• 기타 등등

RT 관련 보안 설정 (쿠키)

• 완전한 보안 설정은 없다.
• HttpOnly, Secure 보안 설정
• AT와 RT를 매핑하고 있는 테이블을 만들 수도 있음. 그러면 상태를 갖고 있는 것 아닌가. RT가 왔을 때, DB에 있는 정보를 가져오는 것 자체가 상태를 가지고 있는 것.
• 상태를 갖고 있다는 것 : 서버가 유저의 정보를 갖고 있다는 것. refresh token을 서버에서 갖고 있음.

Reissue

's-hook.com/api/reissue' POST

로그아웃

로그아웃 시에 따로 요청을 보내지 않는다. localstorage에 있는 access token을 지운다.

access token 유효성 검사

1. 만료일 확인 -> 401 / response body 확인 (error)
2. 유저 정보(user id, nickname) 실제로 존재하는 지 확인 -> 401 / response body 확인 (error)