막은 계정의 액세스 토큰은 언제까지 통과하나

수명을 줄이고 재발급을 하나로 묶는다

액세스 토큰 수명은 계정을 막은 뒤 API가 더 열려 있어도 되는 시간입니다. 사내 서비스라면 15분 안팎으로 둡니다.

토큰을 내주는 인가 서버에서 이 값을 먼저 봅니다. Keycloak에서는 Access Token Lifespan, Auth0에서는 API 설정의 Token Expiration이 이 값입니다.

브라우저 앱은 리프레시 토큰 회전을 켭니다. 회전은 재발급할 때마다 리프레시 토큰도 새것으로 바꾸고 옛것을 무효로 하는 방식입니다. 회전을 켜면 앱이 같은 리프레시 토큰을 두 번 내지 않아야 하므로, 진행 중인 재발급의 Promise를 함께 기다려 재발급을 한 번만 보냅니다.

1let refreshing = null; // 진행 중인 재발급
2
3async function api(path) {
4  const call = () =>
5    fetch(path, { headers: { Authorization: `Bearer ${tokens.access}` } });
6  const res = await call();
7  if (res.status !== 401) return res;
8  refreshing ??= refresh().finally(() => (refreshing = null));
9  try {
10    await refreshing;
11  } catch {
12    return location.assign("/login");
13  }
14  return call();
15}

1let tokens = { access: "", refresh: "" }; // 로그인 응답으로 채운다
2
3async function refresh() {
4  const r = await fetch("/oauth/token", {
5    method: "POST",
6    body: new URLSearchParams({
7      grant_type: "refresh_token",
8      refresh_token: tokens.refresh,
9      client_id: "groupware",
10    }),
11  });
12  if (!r.ok) throw new Error("invalid_grant");
13  const t = await r.json();
14  tokens = { access: t.access_token, refresh: t.refresh_token ?? tokens.refresh };
15}

막은 계정은 재발급에서야 끊긴다

퇴사한 민수의 노트북에 열린 그룹웨어는 로그인 때 받은 액세스 토큰으로 결재 목록을 계속 불러옵니다. API 서버가 토큰의 서명과 만료 시각(exp)만 보고, 토큰을 내준 인가 서버에 묻지 않기 때문입니다. 인가 서버와 API 서버가 한 서비스에 있어도, API 서버가 요청마다 DB에서 계정을 조회하지 않으면 마찬가지입니다.

끊기는 것은 액세스 토큰이 만료돼 앱이 리프레시 토큰으로 재발급을 받으려는 순간입니다. 재발급은 인가 서버만 받고, 인가 서버는 그때 계정과 권한을 다시 봅니다.

회전은 훔친 토큰을 재사용에서 잡는다

브라우저 앱은 자기를 증명할 비밀값을 숨길 곳이 없어서, 리프레시 토큰 하나만 있으면 누구든 재발급을 받습니다. 민수 브라우저의 악성 확장이 리프레시 토큰을 복사해 가도, 회전을 켜 두면 인가 서버가 이미 쓴 토큰이 다시 오는 순간 그 로그인에서 이어진 토큰 묶음 전체를 끊습니다.

같은 이유로 앱이 결재 목록과 공지를 동시에 부르다 둘 다 401을 받아 재발급을 두 번 보내면, 늦게 도착한 쪽이 재사용으로 잡혀 민수는 로그인 화면으로 갑니다. 재발급을 하나로 묶는 까닭입니다.