인증과 인가 — JWT와 Session, 그리고 하이브리드 전략

사용자 → 로그인(인증) → 관리자 페이지 접근 시도 → 권한 확인(인가)

1. 클라이언트 → 서버: 아이디/비밀번호 전송
2. 서버: 검증 후 세션 생성 (서버 메모리에 저장)
3. 서버 → 클라이언트: 세션 ID를 쿠키로 전달
4. 이후 요청마다 쿠키에 세션 ID 포함 → 서버가 세션 조회

// Spring Security에서의 세션 기반 인증 설정
@Bean
SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
    return http
        .formLogin(form -> form
            .loginPage("/login")
            .defaultSuccessUrl("/dashboard"))
        .sessionManagement(session -> session
            .maximumSessions(1) // 동시 세션 1개 제한
            .sessionCreationPolicy(SessionCreationPolicy.IF_REQUIRED))
        .build();
}

eyJhbGciOiJIUzI1NiJ9.          ← Header (알고리즘, 타입)
eyJzdWIiOiJ1c2VyMSIsInJvbGUi.  ← Payload (클레임: 사용자 정보)
SflKxwRJSMeKKF2QT4fwpMeJf36P   ← Signature (서명: 위변조 방지)

1. 클라이언트 → 서버: 아이디/비밀번호 전송
2. 서버: 검증 후 JWT 생성 (비밀키로 서명)
3. 서버 → 클라이언트: JWT 반환
4. 이후 요청마다 Authorization 헤더에 JWT 포함
5. 서버: JWT 서명 검증 + 만료 시간 확인 → 인증 완료

// JWT 생성 예시
public String createToken(String username, String role) {
    return Jwts.builder()
        .subject(username)
        .claim("role", role)
        .issuedAt(new Date())
        .expiration(new Date(System.currentTimeMillis() + 1000 * 60 * 15)) // 15분
        .signWith(secretKey)
        .compact();
}

공격자가 JWT 탈취 → 만료 시간까지 자유롭게 사용 → 서버에서 차단 불가

1. 로그인 → Access Token(JWT, 15분) + Refresh Token(Redis, 7일) 발급
2. API 요청 → Access Token으로 빠른 인증 (DB 조회 없음)
3. Access Token 만료 → Refresh Token으로 새 Access Token 발급
4. 강제 로그아웃 → Redis에서 Refresh Token 삭제 → 재발급 불가

// 하이브리드 인증 흐름 예시
@PostMapping("/auth/login")
public TokenResponse login(@RequestBody LoginRequest request) {
    // 사용자 검증
    User user = authService.authenticate(request);

    // 짧은 수명의 Access Token (JWT)
    String accessToken = jwtProvider.createAccessToken(user, Duration.ofMinutes(15));

    // 긴 수명의 Refresh Token (Redis에 저장)
    String refreshToken = UUID.randomUUID().toString();
    redisTemplate.opsForValue().set(
        "refresh:" + refreshToken,
        user.getId().toString(),
        Duration.ofDays(7)
    );

    return new TokenResponse(accessToken, refreshToken);
}

@PostMapping("/auth/refresh")
public TokenResponse refresh(@RequestBody RefreshRequest request) {
    // Redis에서 Refresh Token 검증
    String userId = redisTemplate.opsForValue()
        .get("refresh:" + request.getRefreshToken());

    if (userId == null) {
        throw new UnauthorizedException("유효하지 않은 Refresh Token");
    }

    // 새 Access Token 발급
    User user = userRepository.findById(Long.parseLong(userId)).orElseThrow();
    String newAccessToken = jwtProvider.createAccessToken(user, Duration.ofMinutes(15));

    return new TokenResponse(newAccessToken, request.getRefreshToken());
}

// Refresh Token Rotation 예시
@PostMapping("/auth/refresh")
public TokenResponse refreshWithRotation(@RequestBody RefreshRequest request) {
    String key = "refresh:" + request.getRefreshToken();
    String userId = redisTemplate.opsForValue().get(key);

    if (userId == null) {
        throw new UnauthorizedException("유효하지 않은 Refresh Token");
    }

    // 기존 Refresh Token 삭제
    redisTemplate.delete(key);

    // 새 Refresh Token 발급
    String newRefreshToken = UUID.randomUUID().toString();
    redisTemplate.opsForValue().set(
        "refresh:" + newRefreshToken, userId, Duration.ofDays(7));

    User user = userRepository.findById(Long.parseLong(userId)).orElseThrow();
    String newAccessToken = jwtProvider.createAccessToken(user, Duration.ofMinutes(15));

    return new TokenResponse(newAccessToken, newRefreshToken);
}