안전한 인증 패턴
토큰 저장 방식(memory, localStorage, httpOnly 쿠키), 자동 갱신과 탭을 닫을 때 로그아웃을 다룹니다.
안전한 인증 패턴은(는) CoddyKit의 무료 Vue Academy 강의입니다. 이것은 4개 중 4번째 강의입니다. 아래에서 전체 강의를 무료로 읽을 수 있으며, 내장 코드 에디터와 24/7 AI 튜터와 함께 브라우저에서 직접 실습할 수 있습니다. 이 강의는 Vue Academy 학습 경로의 일부이며, 진행 상황이 웹과 CoddyKit 앱에 동기화됩니다. Vue Academy 강의에는 총 4개의 강의가 포함되어 있습니다.
토큰과 저장 위치
SPA는 토큰으로 인증하지만 토큰을 어디에 저장하는지에 따라 XSS와 CSRF에 노출되는 정도가 달라집니다. 현대적인 패턴에서는 수명이 짧은 액세스 토큰과 수명이 긴 리프레시 토큰을 나누고, 각각 다른 방식으로 저장합니다.
localStorage의 문제
localStorage에 토큰을 저장하면 편리하지만 위험합니다. XSS로 삽입된 스크립트가 토큰을 읽어 외부로 유출할 수 있기 때문입니다. 자격 증명을 이곳에 저장하지 마십시오.
// AVOID
localStorage.setItem("token", accessToken);메모리에 액세스 토큰 저장하기
액세스 토큰을 JavaScript 변수나 반응형 참조에 보관하십시오. 페이지를 다시 로드하면 토큰이 사라지므로, XSS가 성공하더라도 악용할 수 있는 시간이 훨씬 짧고 디스크에 남는 정보도 없습니다.
import { ref } from "vue";
export const accessToken = ref(null);httpOnly 쿠키에 리프레시 토큰 저장하기
리프레시 토큰은 HttpOnly, Secure, SameSite 쿠키에 저장합니다. JavaScript가 이를 읽을 수 없으므로 XSS로 탈취할 수 없으며, 브라우저도 인증 엔드포인트로만 보냅니다.
Set-Cookie: refresh=...; HttpOnly; Secure; SameSite=Strict; Path=/auth액세스 토큰 첨부하기
Axios 요청 인터셉터는 모든 호출의 Authorization 헤더에 메모리에 저장된 액세스 토큰을 추가합니다.
api.interceptors.request.use((config) => {
if (accessToken.value) {
config.headers.Authorization = "Bearer " + accessToken.value;
}
return config;
});만료 감지: 401
액세스 토큰이 만료되면 서버는 401 Unauthorized로 응답합니다. 응답 인터셉터가 이를 감지하여 갱신을 시작합니다.
api.interceptors.response.use(
(res) => res,
async (error) => {
if (error.response?.status === 401) {
// attempt refresh
}
return Promise.reject(error);
}
);토큰 갱신하기
401 응답이 오면 갱신 엔드포인트를 호출하십시오. 브라우저는 httpOnly 리프레시 쿠키를 자동으로 전송하고(withCredentials), 서버는 새 액세스 토큰을 반환합니다.
const { data } = await axios.post("/auth/refresh", null, {
withCredentials: true
});
accessToken.value = data.accessToken;원래 요청 다시 시도하기
갱신한 후 새 토큰으로 원래 실패한 요청을 다시 실행하여 사용자가 이를 전혀 알아차리지 못하게 합니다.
async (error) => {
const original = error.config;
if (error.response?.status === 401 && !original._retry) {
original._retry = true;
const { data } = await axios.post("/auth/refresh", null, { withCredentials: true });
accessToken.value = data.accessToken;
original.headers.Authorization = "Bearer " + data.accessToken;
return api(original);
}
return Promise.reject(error);
}토큰 갱신 폭주 방지하기
많은 요청이 동시에 401을 반환하면, 갱신 엔드포인트를 반복해서 호출하지 않도록 하나의 진행 중인 갱신 작업 뒤에 요청을 대기열로 묶습니다.
let refreshing = null;
function refresh() {
if (!refreshing) {
refreshing = axios.post("/auth/refresh", null, { withCredentials: true })
.finally(() => { refreshing = null; });
}
return refreshing;
}로그아웃하기
로그아웃할 때 메모리에 저장된 토큰을 지우고 서버 측에서 갱신 쿠키를 삭제하는 엔드포인트를 호출합니다.
async function logout() {
accessToken.value = null;
await axios.post("/auth/logout", null, { withCredentials: true });
}CSRF 방어와 결합하기
갱신 쿠키는 자동으로 전송되므로 다른 쿠키 인증 라우트와 마찬가지로 SameSite와 CSRF 토큰을 사용하여 해당 엔드포인트를 보호합니다.
빠른 확인
액세스 토큰과 갱신 토큰은 각각 어디에 저장해야 합니까?
복습
액세스 토큰은 메모리에 저장되는 ref에 보관하고(절대 localStorage에는 저장하지 않음), 갱신 토큰은 HttpOnly 쿠키에 보관합니다. 요청 인터셉터가 전달자 토큰을 추가하고, 응답 인터셉터가 401을 감지하면 갱신 엔드포인트를 호출하고 토큰을 업데이트한 다음 원래 요청을 다시 시도합니다. 이때 동시에 발생한 갱신 요청은 중복 처리하지 않으며 CSRF 방어도 함께 적용합니다.
자주 묻는 질문
“안전한 인증 패턴” 강의는 무료인가요?
네 — “안전한 인증 패턴” 전체 내용을 이 웹사이트에서 무료로 읽을 수 있습니다. 인터랙티브하게 실습하려면(내장 코드 에디터와 24/7 AI 튜터), CoddyKit PRO로 업그레이드하면 Vue Academy 강의 전체를 잠금 해제할 수 있습니다. Vue Academy 강의에는 총 4개의 강의가 포함되어 있습니다.
“안전한 인증 패턴”에서 뭘 배우나요?
토큰 저장 방식(memory, localStorage, httpOnly 쿠키), 자동 갱신과 탭을 닫을 때 로그아웃을 다룹니다. 브라우저에서 직접 실행하는 실습 코드로 Vue Academy을(를) 배우며, 24/7 AI 튜터가 강의를 진행하면서 질문에 답변해줍니다.
Vue Academy을(를) 시작하는 데 경험이 필요한가요?
사전 경험은 필요하지 않습니다. CoddyKit의 Vue Academy은(는) 초급자부터 고급 학습자까지를 위해 구성되어 있으므로, 여기서 시작하거나 처음부터 시작할 수 있으며 자신의 속도대로 진행할 수 있습니다. 이것은 4개 중 4번째 강의입니다.
“안전한 인증 패턴” 강의는 얼마나 걸리나요?
대부분의 CoddyKit 강의는 약 5~10분이 소요됩니다. 각 강의는 간결하고 인터랙티브하여 꾸준한 진행이 가능하며, 웹과 앱에서 중단한 부분부터 바로 시작할 수 있습니다.
이 Vue Academy 강의에서 코드를 작성하고 실행할 수 있나요?
네. 모든 Vue Academy 강의에는 내장 코드 에디터가 포함되어 있으므로, 브라우저에서 바로 실제 코드를 작성하고 실행한 후 즉시 AI 피드백을 받을 수 있습니다 — 로컬 설정이 필요 없습니다.