세션 VS. 토큰! JWT가 뭔가요?

[@yalco-coding]

jwt.io/ 위 링크에서 JWT의 예시와 더 자세한 정보를 보실 수 있습니다 😀

[@kkorinim]

항상 볼때마다 감탄하고 갑니다. 특히 이 Authentication, Authorization, JWT Best Practice, Session managing 은 제가 담당한 부분인지라 Auth0 공식문서 등을 뒤져보면서 골머리를 싸맸던 부분인데 이걸 이렇게 쉽고 간편하게 정리할 수 있단 점 자체가 놀랍습니다. 기본적으로 해당주제에 엄청 잘 알고 계시고, 해당 주제를 질 모르는 사람도 영상이 아니라 음성만 듣고 쉽고 재밌게 이해할수 있도록 고민하신걸 느낄때마다 참 감사하고 대단하단 생각이 들어요. 다시한번 이런 재밌는 영상 만들어주셔서 감사합니다.

[@yalco-coding]

ㅠㅠ 감사합니다!!!

[@kimjiyoung8655]

저 덴마크에서 백엔드 개발자인데 정말 쉽게 개념 설명하시는 대단한 능력을 가지셨네요 🤩 바로 구독하고 갑니다 😍

[@로키-l1b]

ㅋㅋㅋㅋㅋㅋㅋ '어서와' 좋은데요...? 기억에 확 남네요 ㅋㅋㅋㅋㅋㅋㅋㅋ

[@yalco-coding]

감사합니다 ㅎㅎ

[@workisdeepplay]

미토의 말투와 어휘는 뭔가 참신하면서도 중독성이 있어요ㅋㅋㅋ매력토끼

[@TV-go2ve]

JWT 토큰에 대해 이렇게 쉽고 재미있게 설명해주시니 정말 놀라울 따름입니다. 책상, 서랍, 창고 비유가 진짜 뇌리에 딱 박히네요!

[@yalco-coding]

오오 남수님 감사합니다~!!

[@장성필-w3e]

진짜 개발자를 생각해주시는 콘텐츠 너무 감사드립니다 최고에요!!

[@김영동-e8h]

와 이번 편은 정말 기립박수쳤습니다 비유가 찰떡이네요 감사합니다

[@장수윤-k2q]

OAuth에 대해서 공부하고 있는데 JWT에 대해서 혼동스러웠던 개념을 잡을 수 있어서 너무 좋았습니다!! 다음 강의때 OAuth도 한번 다뤄주셨으면 좋겠어요!!

[@제마은]

와... 아니 미쳤어요? 어thㅓ와라니... 진짜 상상도 못했어요 절대 못 까먹을 거 같아요 감사합니다!! 미토 어thㅓ 와!

[@sugarpepper]

11:37 말투가 너무 중독성있어요 짱짱맨이에요?!?! 항상 잘 보고 있습니다 감사합니당

[@NagiHolic]

진짜 이분처럼 초보자도 이해하기 쉽게 설명하는 분은 없다! 정말 최고입니다 ㅠㅠ 감사해요~

[@jeong-gil]

얄코 형님 진짜 안웃긴 영상이 없네요 진짜 ㅋㅋㅋㅋ

[@jykw1717]

reverse proxy 관련해서 해주세여

[@yalco-coding]

구상해보겠습니다!! 감사합니다~!!

[@user-wp6vu6tv5q]

프록시 관련해서 이게 어떻게 가능한건지 어떻게 동작하는건지도 궁금하네요

[@EBSTEST-z6i]

아진짜 ㅋㅋㅋㅋㅋ 회사에서 보는데 혼자 미친놈처럼 끅끅댔습니당... 너무 감사해요! 구독!!!

[@김무스-z5k]

와 JWT는 효자손에 비닐봉지 씌워서 긁는 느낌이지만 얄코님의 설명은 효자손 그 자체로 저를 긁어주셨습니다 감사합니다.

[@yalco-coding]

감사합니다!! ㅠㅠ

[@user-wp6vu6tv5q]

어서와제이션 웃기네여ㅋㅋㅋㅋㅋ

[@sgl8885]

안녕하세요 우선 뭔가 문제가 생기거나, 헷갈릴 때 마다 영상을 보며 잘 배워나가고 있습니다. 정말 감사합니다. 궁금한점이 몇가지 있어 질문드립니다. - jwt는 토큰을 클라이언트에게 준다고 하셨는데 어디에 저장되나요? 세션처럼 쿠키에 토큰이 저장되는 걸까요? - 토큰 발급시의 secretkey는 서버코드에 그대로 작성한채로 사용해도 되는 걸까요? 아니면 접근하기 힘든 곳에 따로 분리하여 숨겨둔채로 사용해야 할까요? 미니 프로젝트 진행하면서 얄코님 영상 참 많이 보고 있습니다. 항상 감사합니다!!

[@yalco-coding]

1. 네, 쿠키로 저장됩니다 😀 2. 방법은 다양한데 보통 환경변수 등 외부에서 접근하기 어려운 곳에 두고 사용합니다. 소스코드에 적는건 매우 위험하구요. 감사합니다!!

[@hyunjongkim8415]

형님 감사합니다.. 스타트업에서 어쩌다가 프론트엔드 개발을 하게되었는데 정말 큰 도움이 되었네요!

[@꿀빨꿀빨]

출근길에 너무 재밌게 듣고 갑니다 감사합니다!

[@핫쏘-b5o]

와 역시 갓! 애매하게 알고있던걸 다시 들으니깐 정리도되고 재밌어서 잘 듣게되네요 리팩토링이나 성능,부하테스트나 모니터링 툴 관련해서도 재밌게 듣고싶어요

[@yalco-coding]

그 주제들도 준비해볼게요!! 감사합니다~!

[@김유리-m5k1t]

ㅋㅋㅋㅋㅋ진짜 누워서 듣다가 넘 웃겨서 일어났어요 ㅋㅋ정말 쉽고 재미있게 설명해주시네요!

[@gle_Goo]

우와 정말 이해하기 쉽게 잘 가르쳐 주셔서 감사합니다. 좋아요 구독 누르고 가요~~

[@션부캐]

도움이 많이 되네요 ㅋㅋㅋ 재밌게 잘 만들어주셔서 감사합니다

[@대전_1반_김성현]

설명 진짜 최고네요 감사합니다 !!!

[@pianozone2931]

이런 좋은 채널을 오늘 알았네요~ 잘듣고갑니다

[@정혜지-t1i]

매우 유익했습니다! 미토도 귀여워요!😘

[@dk5146]

이걸 공부하면서 생각했던 모든 의문점들을 저 미토라는 토끼가 다 질문해주네요 얄코 당신은 대체....

[@somyeon1881]

얄코 라디오 너무 좋아요~ 감사합니다!

[@구기현-r7e]

안녕하세요 너무 잘 들었습니다! 그 1인 1기기 로그인 원리 설명 부분에서 궁금한 점이 있는데요 먼저 세션 스토리지의 세션 정보는 expire date까지 살아있다고 알고 있습니다. 이 상황에서 쿠키가 세션쿠키로 웹 브라우저가 종료될 때까지만 살아있도록 설정한다고 하더라고 세션 스토리지 세션 만료 시점을 세션쿠키처럼 브라우저가 살아있는 동안만 유지되도록 하지 않으면 다중 기기 로그인을 막을 수 없는 것 아닌가요? 궁금합니다.. ㅜㅜ

[@hullabaloo1008]

Fcm 푸시노티피케이션 토큰 관련 공부 중에 이 영상을 보게 되었는데요, fcm 관련 영상(이 ㅇ없다면) 한번 다뤄주셨으면 좋겠어요 ㅎㅎㅎㅎ 너무 이해하기 쉽고 좋은 영상들 감사합니다 (목소리)연기도 너무 맛깔나게 잘 하셔서 보는 재미까지 있네요~~~~

[@박영제-o7u]

감사합니다! 대충 알고만 있었는데, 정확하게 이해할 수 있게 되었습니다 :)

[@김고래-v6r]

ㅋㅋㅋㅋ미토 너무 재밌어요~~ 이해가 쏙쏙 되니 감사해요!! 구독했습니다ㅎㅎ

[@쿨쿨-f3d]

두분 대화형식 강의가 너무 재밋네요 ㅎㅎ😺

[@미여]

좋은영상 너무 감사합니다. 좋아요랑 구독 눌렀어요 ㅠㅠ 설명을 너무 잘해주시는 것 같아요 ㅠ 저 Oauth랑 DI의존성주입 개념이 이해가 어려워서 그런데 혹시 된다면 나중에 다뤄주시면 좋겠어요!! 감사합니당😊

[@ywlee9431]

단어 하나 하나 재밌게 설명해주셔서 금방 이해 되네요 ㅎㅎ

[@ehdhxhhxkfff]

너무 좋습니다.. 한줄기빛 따봉

[@marimoony]

오늘도 좋은 영상 감사합니다! 추가로 추천드리는 주제는 cs관련 지식도 괜찮을 것 같아요~ 신입인데 정말 도움받는것이 많습니다ㅠㅠ유료로도 듣고 싶으니 열일해주세요♥ 파이팅..!

[@yalco-coding]

감사합니다!! 그 분야 주제들도 준비해볼게요~!!

[@퀀봉이]

와.. 리스펙합니다. 기획자인데 완전 이해됐어요🎉

[@mangueverte]

설명 진짜 대박 💯

[@조상현-l4i]

프로젝트에서 JWT를 쓰게 됐는데 공부에 정말 큰 도움됏습니다! 영상 들으며 요약한 내용을 개인 블로그에 올리고 싶은데 가능할까요? 상업적 목적은 전혀 없습니다!

[@yalco-coding]

물론입니다😀 감사합니다~!

[@디그다-v6n]

얄코님 짱짱! 매번 쉽게 설명해 주셔서 넘 감사합니다! 얄코님 질문 있습니다! 리프레쉬 토큰이 해커에게 탈취 당하면 디비에서 해당 정보를 지우기 전까지 해커가 리프레쉬 토큰 유효기간이 지나기 전까지 엑세스 토큰을 계속 만들 수 있는거죠?

[@lasutona8286]

authentication authorization 둘 다 인증으로 공부해서 뭔 소린가 하고 넘어갔었는데 어thㅓ와 인가 어쎈티 인증하니 쏙쏙 들어오네요 하하

[@dk5146]

정말 감사합니다 얄코님...

[@kims-channel]

쉬운 설명 감사합니다! 그러면 토큰을 HTTP only 쿠키에 넣고 혹시 CORS나 이런 부분은 어떻게 방어 하는지에 대한 강의도 부탁드려도 될까요?? 로그인할 때 항상 토큰을 정확히 어떻게 보관해야할지 잘 모르겠더라구요 ㅠㅠ

[@jongseoklee9477]

잘보고있습니다. 질문이있습니다. access token 이 탈취당할 위험때문에 refresh token을 이용하신다고하셨는데, 결국 refresh token 도 access token 이 탈취당하는것과 똑같은 방식으로 탈취될것같습니다. 정확히 어떤 이유로 refresh token 이 안전하게 관리된다고 생각하시는건가요? 제가 알기로는 브라우저 내에 저장하는 여러 방법들이 있지만, 어떤방식으로든 보안적으로 취약하다고 알고있거든요. 실제 제가 해커라면 브라우저에 저장되어있는 access token , refresh token 이 있으면, 두개 다 털지, 힘든 access token만 털어서 고생하지않을거같거든요 (두개 다 털 수 있는데, 짧은 주기를 가진 access token으로 해킹을 시도하는것보다, 처음부터 refresh token 을 털 것 같아요. ) 혹시 refresh token 을 저장할 수 있는 access token을 저장하는 곳보다 보안이 좋은 효율적인 공간이 따로 있는것인가요? (제가 알기론 없어서 혼란스럽네요..) 실제 DB에 저장한다고도 하는데, 이건 기존 user를 검색하기위해 db왕복을 하는것이랑 별반 다를게없어서 사용자가 많을수 서버, 디비에 부하를 주는건 똑같을것같아서요.

[@yalco-coding]

refresh 토큰이 더 안전하게 숨겨질 수 있어서가 아니라, refresh 토큰을 사용할 경우 해킹이 감지되거나 했을 때(수상한 아이피, 사용자의 신고 등) 서버가 어떤 조치를 취할(refresh 토큰을 강제 만료) 수는 있기 때문입니다. 그렇지 않으면 stateless한 토큰 방식의 특성상 access token을 차단할 방법이 없기 때문이죠.

[@TheRoutineplay]

강의 역주행 중인데 지난 시간에 언급했었던 주제가 있으면 유투브 오른쪽 위에 바로가기 링크 달아주셨으면 좋겠어요ㅜㅜ~

[@elecricecooker]

2:40 밥먹으면서 듣는건데 이렇게 훅들어오면...ㅋㅋㅋㅋㅋㅋㅋ

[@리린-q9f]

좋은 강의 늘 감사합니다 !!

[@junjedi2821]

좋은 영상입니다~ 그럼 실제 서비스에서는 JWT와 다른 인가 방식을 합쳐서 쓴다면 그 다른 인가 방식은 대표적으로 뭐가 있을까요?

[@yalco-coding]

세션과 혼용하거나, JWT에 다른 장치나 암호화를 섞거나 하는 등 서비스마다 나름의 방법을 사용합니다 🙂. OAuth도(JWT 사용) 많이 사용되구요.

[@신재황-w1b]

맙소사... 어서와 보고 육성으로 빵 터졌네요 ㅋㅋㅋㅋㅋㅋㅋ

[@김예린-v9t]

도움 많이 되었습니다.

[@user-ih1ci8hf3w]

JWT의 한계로 인하여 다수의 서버에서 사용자의 정보를 어떻게 어쎈티! 어또와 하는 지 다른 방식들에 대해 궁금합니다!

[@SnowNooDLe]

역시 팩하면서 들어줘야 제맛이죠 ;)

[@김민섭-d8j]

좋아요~~ 확실히 이해가됫습니다 ㅎㅎ

[@물망초-g2r]

와 진짜 이해 잘됩니다 최고!

[@DanGam109]

서버만 가지고 있는 비밀값은 어디에 보관하나요? 디비에 보관하나요? 그러면 세션값을 디비에 보관하는거랑 차이가없는거아닌가요?

[@yalco-coding]

세션값이랑 비밀값은 완전히 다른겁니다. 사용자마다 만드는 세션값과는 달리 비밀값은 그냥 고정이에요. 모든 토큰을 같은 비밀값으로 암호화합니다. 어디에 저장하기는 나름이지만 보통 환경변수로 저장하죠.

[@DanGam109]

@@yalco-coding 아아 그렇군요 답변감사합니다. 환경변수에 있다면 세션클러스터링을 이용하지않고 jwt로도 서버 3개를 돌릴수있겠네요?

[@yalco-coding]

맞아요 😀 서버끼리 비밀값만 공유하면 토큰을 어디서든 쓸 수 있는거에요

[@ehdckss]

진짜 웹 친구랑 프론 백 나눠서 api로 통신하면서 궁금한거 거이다 있으심... 대단하십니다 .. 그리고 감사히 보겠습니다(_ _)

[@재주꾼불당늘보불당개]

오호 좋은 내용 감사합니다 ㅎ

[@하루커피12잔]

JIT에 대해 이야기해주실수 있나요?

[@user-sg9wn7kh9b]

인가 ㅎㅎ 어써와 ㅎㅎ 절대안잊혀질거같아요😂😂

[@hr44a5]

얄코님, 미토님 미들웨어도 다뤄주세요!! 부탁드립니다!

[@yalco-coding]

광범위한데, 어디에서의 미들웨어를 생각하고 계신가요?

[@hr44a5]

@@yalco-coding 초급자 혹은 일반적인 수준의 미들웨어로 부탁드립니다 ㅠ ㅠ

[@bori12370]

@@yalco-coding nestjs나 express에서 미들웨어 . . .

[@minwoopark1571]

감사합니다 얄코님

[@yalco-coding]

감사합니다!

[@captainlennyjapan27]

얄코님 얄코 플레이리스트에 관련없는 비디오가 있어요!

[@yalco-coding]

감사합니다!! ㅠㅠ

[@shinyoungin115]

어thㅓ와 너무 좋아요 ㅋㅋㅋㅋㅋㅋㅋㅋㅋ 구분이 확되네요 ㅋㅋㅋㅋㅋㅋㅋㅋㅋ

[@최혁진-c4e]

바로 구독 박고 갑니다 감사합니다....

[@yalco-coding]

감사합니다!!

[@orckim6347]

또또 알뜰한거 알려주시네ㅎㅎ

[@박현덕-f5s]

리프레시토큰이 안전하게 보관만되면 이라고하셨는데, 리프레시토큰도 액세스 토큰과 같이 쿠키로 발급되지않나요?? 사실이 액세스토큰이 탈취당한다면, 리프레시토큰도 같이훔칠수 있지않나요??

[@yalco-coding]

질문을 잘못 읽었네요. 리프레시 토큰은 로그인할 때 발급됩니다.

[@yalco-coding]

쿠키를 못 훔치도록 HTTP Only 를 걸어서 자바스크립트로 접근 못 하도록 하고 CORS 등의 여러 다른 방법들도 사용합니다. 그래도 해커들은 어떻게든 방법을 찾아내서 탈취를 하려 하고 😢. 보안은 끝없는 싸움인거에요

[@hjrr6471]

와 최고의 설명이네요!

[@chanyounglee8914]

꿀잼인데 유익함ㅋㅋㅋㅋㅋㅋ

[@장작-j4t]

다른건 궁금한거만 챙겨봤는데 이건 본인의 또다른 자아 토끼랑 같이 싸우는게 존나웃겨서 그냥 개그보듯이 챙겨봄;;

[@yalco-coding]

ㅋㅋㅋ 감사합니다!!

[@39dev52]

어서와제이션 피식피식대며 너무 재미있게 봤어요ㅋㅋㅋㅋ 좋은 영상 감사합니다

[@thedreamer5253]

좋은 영상 감사드립니다

[@sungjuyea4627]

오 ... 이거 비트코인 서명확인의 역연산인가요?

[@jsjsnnjssk9923]

감사합니다

[@ableman82]

Redis 는 길다란 공용책상ㅋㅋ 대단한 표현력 ㅋ

[@scrumptious1177]

너무 재밌어요 ㅋㅋㅋ

[@kimin3927]

어써와이제이션!! 절대 안잊어버리겠습니다.. ㅋㅋㅋ 좋습니다

[@강혜빈-r9o]

토끼 말투 좋다ㅎㅎ

[@Frost-lim]

몇 달 후 Authentication 과 어서와제이션이 또 헷갈려서 다시 찾아왔습니다 ㅋㅅㅋ

[@강미혜-e1v]

JWT는 서버가 기억하고 있지 않는다고 했는데 그렇다면 무엇과 비교해서 이 토큰이 맞는지 아는건가요? JWT 도 서버 호출해서 맞는 값인지 확인하는거 아닌가요? 이 부분에서 이해가 좀 가지 않았습니다.

[@yalco-coding]

JWT 토큰을 서버에서 연산을 돌려보면 해당 서버만 갖고있는 키값에 맞는 건지 확인할 수 있습니다. 이건 굉장히 복잡한 원리(해시에 대해 알아보시면 돼요)로 돼 있어서, 다른 사람들은 토큰을 봐도 공식에 맞는 다른 토큰을 만들 수가 없어요

[@강미혜-e1v]

@@yalco-coding 아 네 HASH에 대해서는 알고 있습니다. 답변 주신 내용 보면 서버호출해서 비교 후 확인하는 거 같네요. 서버가 기억하지않고 있다는 말이 서버 호출 없이도 정상 토큰인지 확인이 되는건가? 의문이 들어서 질문하였습니다. 답변 감사합니다.

[@yalco-coding]

세션의 경우 메모리 공간(데이터베이스와는 다른 휘발성 공간)에 현재 로그인해 있는 사용자의 정보를 들고 있어요. 그걸 ‘기억한다’고 표현한 겁니다 😀 JWT는 일일이 현재 로그인한 사용자를 외우고 있지 않아도 토큰을 연산에 돌려보기만 하면, 서버가 발급한 토큰인지 확인할 수 있는거죠

[@강미혜-e1v]

@@yalco-coding 네 이해 되었습니다.!! 이렇게 초스피드로 답변 주실줄이야.. ㅠㅠ 감동이네요. 감사합니다!! 🙂

[@pd1913]

항상 좋은 설명 감사합니다 이터레이터와 제너레이터도 혹시 설명 가능할까요? ㅠㅠ

[@yalco-coding]

라디오로는 어려울 것 같지만 구상해볼게요! 감사합니다~!!

[@jaycelee8453]

감사합니다 선생님

[@control915]

와씨 미토!!ㅋㅋㅋㅋㅋㅋㅋㅋ어서와~~~

[@yokai2125]

와 진짜 감사합니다!

[@howlonghavebeenzino4669]

5:19 개킹받네ㅋㅋㅋㅋㅋㅋㅋㅋ

[@Benjamin-ns4jl]

항상 잘 보고 있습니다. 인증/보안 기초공부 중인데 OAuth 에 대해서도 영상 제작해주실 수 있나요?

[@jjumen]

Jwt를 쿠키에 저장하는건 보안상 문제가 없을까요?

[@yalco-coding]

로컬에 저장해야 하니 브라우저에 넣어야 하는데, 그중 로컬스토리지에 넣으면 스크립트로 접근이 가능해져서 위험합니다. 때문에 HTTP only 쿠키에 넣는거고, CORS 등 다른 장치들도 해줘야 하는거죠 🙂

[@hdk7836]

어thㅓ와. 얄코는 처음이지~?

[@jongjinkim8587]

잘보고갑니다!!

[@수연최-x3q]

최고에여>

[@uctizen]

인가 - 어서와이제이션

[@aceofkorea8238]

재미있네요 ㅋㅋ

[@박현덕-f5s]

혹시 그럼 세션id가 쿠키인데, 그 쿠키를 훔쳐가면 바로 보안이 위험하지 않나용? ?

[@yalco-coding]

네 못 훔쳐가게 서버쪽이랑 브라우저쪽이랑 다 장치를 해놓습니다 🙂

[@박현덕-f5s]

@@yalco-coding 혹시그럼 jwt도 그렇게 브라우저에서 막아두면 괜찮지않을까요?

[@yalco-coding]

JWT도 되어 있습니다. 하지만 백신 깐다고 바이러스가 100% 안 걸리는 건 아닌거죠

[@박현덕-f5s]

@@yalco-coding 감사합니다!,!

[@funlee5867]

미토 땡큐

[@lovelyalien9167]

ㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋ너무 재밌어요

[@Kada_J]

이거 뭔가요 ㅋㅋㅋㅋ 너무 재밌어서 구독하고 갑니다 ㅋㅋㅋ

[@yalco-coding]

감사합니다!!!

[@남노성민]

명쾌하네

[@배성재-p4e]

서명인데 전자 서명처럼 공개키로 복호화하는 것이 아니었네요

[@Jeon-ham]

잼나고 유쾌한 강좌 감사 드립니다. 어thㅓ와~ ㅋ