jwt 관리 및 저장에 대한 고민거리

jwt 토큰 관리에 대한 고민

• local storage에 저장하면 보안상 문제가 된다. (XSS)

• httponly, secure 옵션을 사용하여 cookie에 저장하면 local storage보다는 안전하다.

• workspaceUserInfo의 id가 사실상 user의 id처럼 사용되기 때문에 jwt로 관리하는게 맞는 것 같다.

• userId와 workspaceUserInfoId를 같이 jwt 토큰을 생성해야할까 따로 생성해야 할까? -> 같이 하나로 생성하자.

실제 web slack 분석

• 실제 서비스되고 있는 web slack은 localstorage에 채널 정보와 같이 잘 변하지 않는 데이터들을 저장하여 사용하고 있다.

• 현재 우리가 고민하는 문제는 유저 정보를 어떻게, 어디에 저장하는지가 문제가 되고 있기 때문에 참고 사항이 될 수 없었다.

https 적용

• 현재는 jwt를 쿠키에 저장하는 방법을 사용하고 있으며 저장할 때 여러 옵션을 적용하기로 하였다.
• 우선 signed cookie를 사용하며 https를 이용할 때 사용할 수 있는 secure 옵션을 적용하였다.