리프레시토큰

작성한 질문수 11

0

Access Token(AT)과 Refresh Token(RT)

APIRefreshController에서 Access Token의 갱신 작업을 하고 있는데요.

AT가 입장권, RT가 교환권이므로

교환권이 만료되었다는 얘기는 결국 새로 로그인해야 한다는 의미가 됩니다.

질문하신 내용이 RT이 만료된 상황에 대한 것이라면 -- 새로 로그인을 유도하는게 맞습니다.

서버에서는 RT를 확인하는 부분입니다.

  Map<String, Object> claims = JWTUtil.validateToken(refreshToken);

여기서 JWTUtil에 있는 validateToken( )은 예외를 발생시킵니다.

public static Map<String, Object> validateToken(String token) {

    Map<String, Object> claim = null;
    
    try{

      SecretKey key = Keys.hmacShaKeyFor(JWTUtil.key.getBytes("UTF-8"));

      claim = Jwts.parserBuilder()
              .setSigningKey(key)
              .build()
              .parseClaimsJws(token) // 파싱 및 검증, 실패 시 에러
              .getBody();
              
    }catch(MalformedJwtException malformedJwtException){
        throw new CustomJWTException("MalFormed");
    }catch(ExpiredJwtException expiredJwtException){
        throw new CustomJWTException("Expired");
    }catch(InvalidClaimException invalidClaimException){
        throw new CustomJWTException("Invalid");
    }catch(JwtException jwtException){
        throw new CustomJWTException("JWTError");
    }catch(Exception e){
        throw new CustomJWTException("Error");
    }
    return claim;
  }

만료되거나 잘못된 RT에 대해서 알 수 있고 이를 advice에서 처리합니다.

  @ExceptionHandler(CustomJWTException.class)
  protected ResponseEntity<?> handleJWTException(CustomJWTException e) {

      String msg = e.getMessage();

      return ResponseEntity.ok().body(Map.of("error", msg));
  }

이렇게 되면 RT가 만료되었을때 사용자는 {error:에러메시지}를 받게 됩니다.

RT를 새로 발행할 때는 RT의 남은 시간을 봐서 새로운 RT도 만들어 줍니다.

 String newRefreshToken =  checkTime((Integer)claims.get("exp")) == true? JWTUtil.generateToken(claims, 60*24) : refreshToken;

이렇게 하면 사용자는 주기적으로 AT와 RT가 변경되게 됩니다.

최근에는 AT 갱신시에 RT를 무조건 새로 만들어주는 방식도 많이 사용하고 있습니다.

React쪽(다음챕터)

커스텀 훅으로 에러가 발생하면 경고창을 보여주도록 구성합니다.