/connect 경로에 대한 토큰 검증의 필요성
77
2 câu hỏi đã được viết
JwtAuthFilter에서 /connect 경로의 토큰 검증도 이루어진다면 interceptor는 구현할 필요는 없는건가요? 동일하게 subscribe, disconnect도 JwtAuthFilter에서 검증이 이루어지니까 interceptor 코드는 필요 없는 걸까요?
Câu trả lời 1
0
안녕하세요~
웹소켓 연결시의 요청은 http요청이 아니므로 jwtfilter에서는 검증이 어려울것으로 생각됩니다. 혹시 아직 해당부분 못들으신것 같은데 수업에서 언급이 있습니다!!
0
먼저 빠른 답변 감사합니다!
stomp jwt인증 처리 영상 마지막에 설명하신 주석 부분인
"웹소켓요청(connect) 등의 요청시에는 http header 등 http 메시지를 넣어올 수 있고,"
이 부분이 저는 "/connect 요청으로 들어올 시 일회성으로 http request 가 들어오고 http request header에 담긴 토큰 값을 인터셉트 해서 StompHandler에서 토큰 검증을 한다" 라고 이해했는데
저는 현재 쿠키에 토큰을 담아서 보내고 있지만,
1회 요청이 기존 http request처럼 온다면 Stomp Handler에서 인터셉트 하지않아도 동일하게 security filter가 동작하지 않을까? 라고 생각했습니다
/connect 요청의 구조가 http request와 동일한 구조인 것이지, 요청 자체는 Security Filter를 통과하는 걸까요?
0
웹소켓의 통신방식은 최초에 http를 통해 연결을 맺고, 그 이후에는 websocket프로토콜로 이어지게 됩니다.
말씀해주신대로 최초의 http요청을 filter에서 token검증을 할수는 있을것으로 보여집니다. 다만, 기존의 filter방식으로는 어려운것으로 알고 있습니다.
그런데, 위와 같은 방식의 검증자체가 일반적이지 않습니다. 왜냐면 추후에 http를 통한 연결이후에는 websocket프로토콜로 넘어가게 되는데, 그 웹소켓 요청은 filter를 거치지 않게 됩니다. 그런데 서버에서는 한번 연결맺고 난 이후에도 사용자의 token을 꺼내서 지속적으로 해당 요청이 누구의 요청인지를 파악해야 하는 경우가 발생합니다. 이때에 만약 filter를 쓰게 되면 해당 요청에서 토큰을 꺼낼수 없게 됩니다.
그래서, 최종적으로 웹소켓 프로토콜 레벨의 interceptor에서 토큰을 처리하는게 맞다고 생각하시면 될것 같습니다.
ERD 질문
0
54
2
StompHandler 관한 질문
0
79
2
리프레시 토큰은 알아서 구현하면 되는건가요??
0
79
2
cors, csrf 직접 구현
0
64
1
JWT 필터구현
0
96
2
강의 잘듣고 있습니다. 혹시 다음 강의 계획은 없으신가요?
0
57
1
STOMP 동작 과정 질문
0
48
1
chain.doFilter()
0
45
1
자바 21로 소스 작성해도 되나요?
0
60
2
메시지 브로커 선택에 관한 질문
0
64
2
WebSocket과 Spring Security 질문
0
81
2
추가 커스텀 구현 질문 있습니다.
0
59
2
connect와 동시에 구독하는데 구독 검증이 꼭 필요한가요?
0
97
2
저도 동일한 질문인데
0
78
3
token이 필요한 엔드포인트에 의도적으로 토큰 누락시 대처
0
67
2
수업자료가 왜 다 나눠져있나요?
0
78
2
메시지 전송 시 검증
0
61
2
JWT 생성 시 subject 설정에 대한 질문
0
156
3
StompHandler 질문 있습니다.
0
82
2
앱 서비스일 경우
0
82
2
웹소켓 서버 재배포시 고려해야 할 상황 질문
0
106
2
배포 오류 질문
0
123
2
JwtTokenProvider 작성중 오류 발생으로 문의드립니다.
0
95
2
수강료가 갑자기 인상됬던데 ㅠ
0
130
1