kimmjen
commented
1 week ago 1. 저장 위치
-
Local Storage:
- 장점: 간편하게 사용할 수 있으며, 여러 페이지에서 공유 가능합니다.
- 단점: XSS 공격에 취약할 수 있습니다. 악성 스크립트가 Local Storage에 접근하여 토큰을 탈취할 수 있습니다.
-
Session Storage:
- 장점: 페이지 세션 동안만 유효하며, 브라우저를 닫으면 토큰이 삭제됩니다.
- 단점: Local Storage와 마찬가지로 XSS 공격에 취약합니다.
-
HttpOnly 쿠키:
- 장점: 클라이언트 측 JavaScript에서 접근할 수 없어 XSS 공격으로부터 보호받을 수 있습니다. 자동으로 요청과 함께 전송되므로 관리가 간편합니다.
- 단점: CSRF 공격에 취약할 수 있으므로 추가적인 CSRF 보호 조치가 필요합니다.
2. 토큰 발급 및 갱신
- 발급: 사용자가 로그인할 때 서버는 JWT를 생성하여 클라이언트에 반환합니다.
- 갱신: JWT는 만료 시간이 설정되어 있기 때문에, 만료되기 전에 리프레시 토큰을 사용하여 새로운 액세스 토큰을 발급받아야 합니다. 이 과정은 일반적으로 다음과 같이 이루어집니다:
- 클라이언트는 리프레시 토큰을 서버에 전송합니다.
- 서버는 리프레시 토큰을 검증하고, 유효한 경우 새로운 액세스 토큰을 발급합니다.
3. 로그아웃 처리
- 클라이언트가 로그아웃하면 저장된 토큰을 삭제합니다. HttpOnly 쿠키의 경우, 서버에서 쿠키를 만료시키는 방식으로 로그아웃 처리할 수 있습니다.
- 보안을 강화하기 위해 서버에서는 특정 토큰을 블랙리스트 처리할 수 있습니다.
4. 보안 고려 사항
- XSS 방지: 클라이언트 측에서 악성 스크립트가 실행되지 않도록 콘텐츠 보안 정책(CSP)을 설정합니다.
- CSRF 방지: HttpOnly 쿠키를 사용할 경우 CSRF 공격에 대한 방어를 고려해야 합니다. CSRF 토큰을 사용하거나 SameSite 속성을 설정할 수 있습니다.
관리자 로그인 기능 구현 단계
1. 사용자 인증 및 권한 관리
• 데이터베이스 설계: 관리자 정보를 저장할 테이블을 생성합니다. 예를 들어, 사용자 ID, 비밀번호, 역할 등을 포함할 수 있습니다. • 비밀번호 해시화: 보안 강화를 위해 비밀번호는 해시화하여 저장해야 합니다. Spring Boot에서는 BCryptPasswordEncoder를 사용할 수 있습니다.
2. 로그인 API 구현
3. 프론트엔드 구현
4. 세션 관리
5. 접근 제어
고려사항
보안: 관리자의 비밀번호는 반드시 안전하게 저장해야 하며, 가능한 경우 추가적인 보안 조치를 고려해야 합니다 (예: 2단계 인증).
UI/UX: 로그인 과정에서 사용자 경험을 고려하여 에러 메시지, 비밀번호 찾기 기능 등을 추가할 수 있습니다.
테스트: 기능이 구현된 후, 다양한 경우에 대한 테스트를 통해 정상 작동하는지 확인해야 합니다.
[x] #2
[x] #3
[x] #4
[x] #6