refactor : Spring Security + JWT Exception 처리 추가 및 리팩터링

[yarogono]

설명(Description)

• Spring Security + JWT에서 발생 할 수 있는 케이스에 대해서 고민하고 코드 보강

• Exception 처리에 더욱 신경 쓰고 해당 코드를 추가한 이유를 글로 작성

  • 현재 이슈에 코멘트로 남기거나 노션 페이지에 정리

To Do List

• [ ] Expire된 토큰 Exception 처리
• [ ] Exception 코드 함수로 정리
• [ ] JWT Expire 시간 로직과 쿠키 Expire 시간 맞추기

추가내용

• 멘토님이 피드백 해주신 내용에 대해 고민해보자 => https://github.com/f-lab-edu/fitness-partner/pull/17#issuecomment-1505135506

[yarogono]

Spring Security & JWT 관련 고려해야 할 상황

• JWT 토큰이 탈취 되었을 때는 어떻게 해야 할까?
• JWT 토큰에 유저의 정보를 담는다면 어느 정도까지 담아야 할까?
• 토큰 탈취를 대비해서 Refresh 토큰이 꼭 필요할까?
• Spring Security가 꼭 필요할까?
• Spring Security 없이 보안을 관리할 방법은 없을까?

[yarogono]

문제 상황

• Request를 보낼 때마다 토큰에 있는 username을 통해 유저가 존재 여부를 DB에서 확인 하는 문제
  • DB에서 조회 안하고 Authentication에서 확인 하는 방법이 있다고 함 => 링크

궁금한 것

• OncePerRequestFilter란? => 링크

[yarogono]

UserController에서 JWT를 담은 쿠키 발급 시 HttpOnly 설정 필요

• XSS 공격 방지 => 자바스크립트로 접근 못하도록 설정
• 참고 자료