비밀번호 재설정 1회용 이메일 링크

投稿した質問数 3

1

안녕하세요 이정환입니다

결론부터 말씀드리면, 재설정 링크 자체는 이미 1회용으로 정상 소모되고 있습니다. 같은 링크로 계속 비밀번호가 변경되는 것처럼 보이는 건, 링크가 재사용되는 게 아니라 첫 클릭 때 발급된 로그인 세션이 브라우저에 그대로 남아있기 때문이에요.

Supabase 비밀번호 재설정 흐름을 단계별로 보면 이렇습니다.

1. resetPasswordForEmail() 호출 → 이메일 링크 발송

2. 링크 클릭 → Supabase가 토큰을 1회 검증하고 소모한 뒤, 그 대가로 세션(access / refresh token)을 발급해 브라우저(localStorage)에 저장

3. 앱에서 updateUser({ password }) 호출 → 이때 사용하는 건 링크가 아니라 "방금 발급된 세션"

즉, 비밀번호 변경은 링크가 아니라 로그인된 세션으로 처리됩니다. 그래서

- 링크의 토큰은 사실 이미 1회용으로 소모된 상태입니다 (재검증하면 만료/에러가 납니다)

- 그런데 첫 클릭으로 만들어진 세션은 브라우저에 계속 살아있습니다 (refresh token이 자동 갱신됨)

- 그 상태로 페이지에 다시 들어가면 "이미 로그인된 상태"라 updateUser가 또 동작 → 마치 "링크가 계속 통하는" 것처럼 보이는 거예요 만약 이 동작이 부자연스럽다고 느껴지신다면 비밀번호 변경 이후 강제로 SignOut 하는 동작을 만들어주시면 됩니다

  const { mutate: updatePassword, isPending: isUpdatePasswordPending } = useUpdatePassword({
    onSuccess: async () => {
      toast.info('비밀번호가 성공적으로 변경되었습니다.', { position: 'top-center' });
      await signOut('global');
      navigate('/sign-in');
    },
    onError: (error) => {
      const message = generateErrorMessage(error);

      toast.error(message, { position: 'top-center' });
      setPassword('');
    },
  });