Access Token과 Refresh Token

Access Token이란?

Access Token은 클라이언트가 리소스 소유자의 데이터에 접근할 수 있는 권한을 부여받았음을 증명하는 문자열이다. 일반적으로 이 토큰은 인증 서버로부터 발급받으며, 유효기간이 있다. 클라이언트는 이 토큰을 이용해 리소스 서버에 데이터 요청을 하고, 리소스 서버는 토큰을 검증한 후 유효하면 요청된 데이터를 응답한다.

Refresh Token이란?

Refresh Token은 클라이언트가 새로운 Access Token을 받을 수 있게 해주는 토큰이다. Access Token이 만료되면, 클라이언트는 Refresh Token을 이용하여 인증 서버에 새로운 Access Token을 요청할 수 있다. Refresh Token은 대체로 Access Token보다 긴 수명을 가진다.

Access Token과 Refresh Token의 관계

Access Token과 Refresh Token은 보안성과 사용자 경험을 높이기 위한 매커니즘에 있어 중요한 역할을 한다. Access Token의 수명은 일반적으로 짧게 설정되어 있어서, 만약 토큰이 노출되더라도 제한된 시간 동안만 노출된다. 하지만 이렇게 짧은 수명의 토큰은 사용자가 자주 재로그인 해야하는 불편함을 초래할 수 있다.

이런 문제를 해결하기 위해 Refresh Token이 도입되었다. Access Token이 만료되면, 클라이언트는 Refresh Token을 사용하여 새로운 Access Token을 받을 수 있다. 이 과정에서 사용자는 추가적인 로그인 과정을 거치지 않아도 되므로, 사용자 경험이 향상된다. 또한, Refresh Token은 서버에 저장되어 관리되므로, 만약 이 토큰이 노출되면 즉시 무효화시킬 수 있다. 이로써 보안성도 향상된다.

세션 인증과 Refresh Token의 차이

세션 인증

사용자가 로그인을 하면 서버가 세션을 생성하고, 세션 ID를 클라이언트에게 제공한다. 클라이언트는 이후 요청을 할 때마다 세션 ID를 서버에 제공하고, 서버는 이 ID를 이용하여 세션을 찾아 사용자를 인증한다. 이 과정에서 서버는 모든 세션 정보를 유지해야 하므로, 상태를 계속 유지하게 된다.

Refresh Token

클라이언트가 새로운 Access Token을 받을 수 있게 해주는 역할만 한다. 클라이언트가 인증을 받으면 인증 서버는 Access Token과 Refresh Token을 제공하며, 이후 클라이언트는 Access Token이 만료되면 Refresh Token을 이용하여 새로운 Access Token을 받아온다. 이 과정에서 인증 서버는 Refresh Token만 유지하면 되므로, 사용자의 모든 세션 상태를 유지할 필요가 없다.

따라서, Refresh Token은 세션 인증처럼 서버가 클라이언트의 모든 상태를 유지하는 것이 아니라, 클라이언트가 필요할 때 새로운 Access Token을 받을 수 있게 해주는 역할만 한다. 이로써 인증 서버의 부담을 줄이면서도 사용자에게 원활한 인증 경험을 제공할 수 있다.