[Fix] 토큰 재발급 로직 변경

[imeasy99]

📝 작업 내용

정리

구분	Access Token (AT)	Refresh Token (RT)
변경 전	Authorization 헤더 (Bearer )	HttpOnly 쿠키 refreshToken
변경 후	HttpOnly 쿠키 accessToken	HttpOnly 쿠키 refreshToken

변경된 토큰 재발급 로직

1. 🛡️ 토큰 정책 및 보안 강화

• 쿠키 중심 인증: 기존 Authorization 헤더 반환 방식을 제거하고, accessToken과 refreshToken을 모두 HttpOnly 쿠키에 담아 반환하도록 통일했습니다. (XSS 공격 방지 및 FE 구현 단순화)
• 토큰 추출 우선순위: API Gateway 필터(JwtAuthenticationFilter)에서 쿠키를 최우선으로 확인하며, 쿠키가 없을 때만 헤더(Authorization: Bearer)를 확인하는 폴백 로직을 적용했습니다.
• 엄격한 검증: accessToken 쿠키가 존재하지만 값이 비어있는 경우, 유효하지 않은 세션으로 간주하여 즉시 401 Unauthorized를 반환하도록 개선했습니다.

2. 🔄 사일런트 리프레시 (Silent Refresh) 구현

• 자동 갱신: introspect API 호출 시 Access Token(AT)의 만료 시간이 5분(300초) 미만으로 남았거나 이미 만료된 경우, 유효한 리프레시 토큰이 있다면 자동으로 새 AT/RT를 발급합니다.
• FE/사용자 무중단: 재발급된 토큰은 응답의 Set-Cookie 헤더를 통해 자동으로 브라우저에 저장되므로, 프론트엔드에서 별도의 리프레시 로직(인터셉터 등)을 짤 필요가 없습니다
• 강제 로그아웃 로직: 리프레시 토큰이 만료되었거나 재발급에 실패할 경우, 기존에 남아있던 모든 쿠키를 즉시 만료(Max-Age=0)시켜 세션을 깔끔하게 정리하고 401을 반환합니다.

graph TD
    Start["인트로스펙트 호출 (/api/v1/auth/introspect)"] --> ExtractToken["토큰 추출 (JwtAuthenticationFilter.extractToken)"]
    
    subgraph Extraction["[1] 토큰 추출 우선순위"]
        ExtractToken --> CheckCookie{"accessToken 쿠키 존재?"}
        CheckCookie -- "예" --> UseCookie["쿠키 값 사용 (헤더 무시)"]
        CheckCookie -- "아니오" --> CheckHeader{"Authorization 헤더 존재?"}
        CheckHeader -- "예" --> UseHeader["헤더 값 사용"]
        CheckHeader -- "아니오" --> NoToken["토큰 없음 결정"]
    end

    UseCookie --> ValidateEmpty
    UseHeader --> ValidateEmpty
    NoToken --> Fail401["401 Unauthorized 반환"]

    subgraph Validation["[2] 검증 및 재발급 판단"]
        ValidateEmpty --> IsEmpty{"토큰 값이 비어있음?"}
        IsEmpty -- "예" --> Fail401
        IsEmpty -- "아니오" --> CheckTime{"만료됨 OR 남은 시간 < 5분?"}
        
        CheckTime -- "예 (갱신 필요)" --> CheckRT{"refreshToken 쿠키 존재?"}
        CheckRT -- "아니오" --> ClearCookies["모든 쿠키 삭제 (Max-Age=0)"]
        CheckRT -- "예" --> TryRefresh["AuthService.refreshAccessToken 시도"]
        
        TryRefresh -- "성공" --> SetCookies["새 AT/RT 쿠키 응답 설정 (Set-Cookie)"]
        TryRefresh -- "실패 (RT만료/오류)" --> ClearCookies
        
        CheckTime -- "아니오 (유효함)" --> Success["유저 UUID 추출 (opaqueId)"]
    end

    ClearCookies --> Fail401
    SetCookies --> Success
    Success --> Final["응답 헤더에 X-User-Id 설정 후 종료"]

Loading