feat-be: refresh token 구현 #816

github-actions · 2024-10-14T06:48:45Z

Original issue description

목적

refresh token을 RTR 방식으로 구현합니다.

RTR 방식은 Refresh Token를 탈취 당했을 때, 피해 시간을 최소화하기 위한 방식입니다. 기존에는 refresh를 통해 Access Token만 재발급했다면, RTR은 Refresh Token과 Access Token 모두 재발급하는 것입니다.

작업 세부사항

refresh token을 구현합니다.
토큰 RTR 방식을 적용합니다.
토큰이 매번 같게 나온 버그를 고쳤습니다. 같은 트랜잭션 내에서 getBytes 때문에 고정이 되어 Access Token과 Refresh Token이 같게 나오는 문제가 있어서 제거했습니다.
기존 작업자분들이 application.yml의 key를 숨겨서, 저도 유사하게 작업했습니다.
컨트롤러 테스트가 전부 깨져서 변경점이 많습니다.

아래의 별표줄 밑에 요구사항 ID만 작성해주세요. Prefix 금지!

REFRESH_TOKEN_01

closes #815

github-actions · 2024-10-16T15:22:39Z

1729092158.789629

github-actions · 2024-10-16T15:22:46Z

1729092165.639789

github-actions · 2024-10-16T15:22:46Z

1729092166.118939

github-actions · 2024-10-16T15:22:49Z

1729092168.664619

github-actions · 2024-10-16T15:23:53Z

📌 Test Coverage Report

Overall Project	79.78% `-0.5%`	❌
Files changed	88.74%	🍏

File	Coverage
JwtTokenProvider.java	100%	🍏
AuthFacade.java	100%	🍏
TokenProperties.java	100%	🍏
WebMvcConfig.java	100%	🍏
AccessToken.java	100%	🍏
TokenResponse.java	100%	🍏
AuthController.java	100%	🍏
CookieManager.java	100%	🍏
CookieProperties.java	100%	🍏
AuthService.java	92.86% `-4.76%`	🍏
RefreshToken.java	43.55% `-56.45%`	❌

Chocochip101 · 2024-10-17T00:14:25Z

러기랑 의논 과정에서 굳이 /refresh 엔드포인트가 필요없어서, 이를 반영 후에 다시 알림 드리겠습니다!

Chocochip101 · 2024-10-17T03:03:31Z

완료했습니다!

로컬에서 DB 연결해서 flyway DDL도 실행되는지도 확인했습니다!

xogns1514

초코칩 수고하셨습니다~ 간단한 코멘트 남겨두었습니다.

backend/src/main/java/com/cruru/auth/domain/AccessToken.java

xogns1514 · 2024-10-17T06:11:54Z

backend/src/main/resources/application.yml

@@ -208,11 +212,13 @@ security:
  jwt:
    token:
      secret-key: ${JWT_TOKEN_SECRET_KEY}
-      expire-length: ${JWT_TOKEN_EXPIRE_CYCLE}
+      access-expire-length: ${ACCESS_TOKEN_EXPIRE_CYCLE}


계정정보에 실제값 추가 부탁드려요~

아직 github-secret에 값을 추가하지 않아서, 팀에서 의논 후에 값을 추가하면 작성하려 했습니다!

xogns1514 · 2024-10-17T06:46:04Z

backend/src/main/java/com/cruru/global/util/CookieManager.java

+    private boolean isRefreshTokenCookie(Cookie cookie) {
+        return cookieProperties.refreshTokenKey().equals(cookie.getName());
+    }
+


개행 하나 더 들어갔어요~

xogns1514 · 2024-10-17T06:47:51Z

backend/src/main/java/com/cruru/auth/controller/AuthController.java

                .body(new LoginResponse(clubId));
    }

    @PostMapping("/logout")
    public ResponseEntity<Void> logout() {
-        ResponseCookie cookie = cookieManager.clearTokenCookie();
+        ResponseCookie cookie = cookieManager.clearAccessTokenCookie();


로그아웃할때는 refreshToken 안지워도 되나용?

backend/src/main/java/com/cruru/auth/security/jwt/JwtTokenProvider.java

HyungHoKim00

고생하셨습니다~ 간단한 코멘트 남겨놓았어요.

HyungHoKim00 · 2024-10-17T07:00:07Z

backend/src/main/java/com/cruru/config/WebMvcConfig.java

@@ -42,7 +42,8 @@ public void addInterceptors(InterceptorRegistry registry) {
                .excludePathPatterns("/**/signup")
                .excludePathPatterns("/**/login")
                .excludePathPatterns("/**/applyform/*/submit")
-                .excludePathPatterns("/");
+                .excludePathPatterns("/")
+                .excludePathPatterns("/**/auth/refresh");


어떤 상황에서 발생하는 요청인가요?

HyungHoKim00 · 2024-10-17T07:02:51Z

backend/src/main/java/com/cruru/global/AuthenticationInterceptor.java

+    private boolean isValidTokenExpired(HttpServletRequest request) {
+        try {
+            String token = cookieManager.extractAccessToken(request);
+            return authService.isTokenValid(token) && !authService.isTokenNotExpired(token);


이럴 바엔 notExpired 메서드를 지우고 isExpired로 사용하시는건 어떤가용

cutehumanS2

변경점 진짜 많네요... 수고 많으셨습니다. 👍

다른 분들께서 리뷰 꼼꼼히 남겨 주셨네요.
몇 가지 의문점 남겼으니 확인 부탁드려요~

cutehumanS2 · 2024-10-17T11:49:56Z

backend/src/main/java/com/cruru/auth/domain/Token.java

근데 지금 코드에서 Token으로 추상화해서 얻는 이점이 뭔가요??

accessToken과 refreshToken의 행위(메서드들)가 겹치는 부분이 많아요. 따라서 인터페이스로 구분이 필요없는 측(클라이언트 메서드)에서 신경 쓰지 않고 사용할 수 있습니다. 냥인이 보기엔 어색한가요?

어색한 것보단 추상화된 메서드가 getToken()밖에 없어서 현재 코드에선 이점이 없다고 생각했어요.
각 클래스마다 @Getter 붙여주는 것만으로도 충분한 것 같아서요.
인터페이스를 구현해도 어차피 @getter는 붙여줘야 하니깐요..
혹시 제 논리가 틀렸다면 바로 짚어주세요. 🥺

cutehumanS2 · 2024-10-17T11:59:58Z

backend/src/main/java/com/cruru/auth/security/jwt/JwtTokenProvider.java

+    }
+
+    @Override
+    public boolean isTokenExpired(String token) throws IllegalTokenException {


초코칩뿐만 아니라 다른 팀원분들께도 질문합니다.
얘랑 isValid랑 뭐가 다른가요...? isValid 하나로 퉁쳐서 사용할 수 없나요?

isValid의 메서드명이 모호한 것 같아서, 메서드명을 구체화했습니다.

두 메서드 안에서 검증하는 내용이 겹치지 않나요??

겹치지 않습니다. 만료 여부와 시그니처 검증 여부는 다릅니다.

cutehumanS2 · 2024-10-17T12:02:30Z

backend/src/main/java/com/cruru/global/AuthenticationInterceptor.java

-            String token = cookieManager.extractToken(request);
-            return authService.isTokenValid(token);
+            String token = cookieManager.extractAccessToken(request);
+            return authService.isTokenValid(token) && authService.isTokenNotExpired(token);


지금 조건문이 (만료되었는지 + a) && (만료되었는지) 이렇게 되어 있는 것 같은데
제가 잘못 파악했나요 ? ? ? ?

Chocochip101 · 2024-10-18T00:39:05Z

@cutehumanS2 @xogns1514 @HyungHoKim00

이해의 도움을 드리기 위해 간단한 다이어그램 작성했습니다.

먼저 accessToken의 검증 과정입니다.

아래는 RTR 진행 과정입니다.

보시면서 궁금한 점이 있다면, DM이나 커멘트 남겨주세요!

Create draft PR for #815

0ccf115

github-actions bot added backend 백엔드 feature 새로운 기능 labels Oct 14, 2024

github-actions bot assigned Chocochip101 Oct 14, 2024

Chocochip101 added 5 commits October 15, 2024 09:00

refactor: accessToken 명칭 추가

8484455

feat: RefreshToken 구현

4da4b34

fix: 매번 같은 JWT나오는 버그 수정

a30f4b1

feat: RTR 구현

3e33531

fix: 여러번 로그인 시, refreshToken 등록 불가 해결

9b3d13c

Chocochip101 marked this pull request as ready for review October 16, 2024 15:22

Chocochip101 requested review from HyungHoKim00, xogns1514 and cutehumanS2 October 16, 2024 15:22

feat: toString 추가

5252317

feat: 사용자의 Refresh Token이 아닐 경우 검증

e9630ee

Chocochip101 removed request for cutehumanS2, xogns1514 and HyungHoKim00 October 17, 2024 00:13

Chocochip101 added 4 commits October 17, 2024 11:33

feat: refresh 로직 서버에서 처리

004056b

feat: ddl 작성

ac9628a

fix: 로그인시 저장 안되는 현상 해결

ff437da

docs: refresh api 관련 문서 제거

e99466b

Chocochip101 requested a review from HyungHoKim00 October 17, 2024 03:03

Chocochip101 requested review from cutehumanS2 and xogns1514 October 17, 2024 03:03

refactor: 불필요 필드 제거

2c1398e

xogns1514 requested changes Oct 17, 2024

View reviewed changes

HyungHoKim00 requested changes Oct 17, 2024

View reviewed changes

cutehumanS2 requested changes Oct 17, 2024

View reviewed changes

Chocochip101 added 7 commits October 18, 2024 08:50

refactor(AccessToken): Lombok 적용

a03f262

refactor(CookieManager): 개행 제거

f543101

feat(RefreshToken): 로그아웃 시 쿠키 만료

75ca366

chore(WebMvcConfig): 불필요 path 제거

1ca4bfb

refactor: isValid -> isSignatureValid

ab0be04

refactor: isNotExpired -> isExpired

dccc043

fix: refreshToken 만료 시, 로그인 예외 발생

b0bb988

Chocochip101 requested review from cutehumanS2, HyungHoKim00 and xogns1514 October 18, 2024 00:39

cutehumanS2 approved these changes Oct 18, 2024

View reviewed changes

feat: 만료 로직 제거

3fd9186

HyungHoKim00 approved these changes Oct 18, 2024

View reviewed changes

xogns1514 approved these changes Oct 18, 2024

View reviewed changes

Chocochip101 merged commit 26082b2 into be/develop Oct 18, 2024
10 checks passed

Chocochip101 deleted the be-815-REFRESH_TOKEN_01 branch October 18, 2024 05:14

Chocochip101 restored the be-815-REFRESH_TOKEN_01 branch October 18, 2024 05:28

Provide feedback

Saved searches

Use saved searches to filter your results more quickly

feat-be: refresh token 구현 #816

feat-be: refresh token 구현 #816

github-actions bot commented Oct 14, 2024 •

edited by Chocochip101

Loading

github-actions bot commented Oct 16, 2024

github-actions bot commented Oct 16, 2024

github-actions bot commented Oct 16, 2024

github-actions bot commented Oct 16, 2024

github-actions bot commented Oct 16, 2024

Chocochip101 commented Oct 17, 2024

Chocochip101 commented Oct 17, 2024

xogns1514 left a comment

xogns1514 Oct 17, 2024

Chocochip101 Oct 17, 2024

xogns1514 Oct 17, 2024

xogns1514 Oct 17, 2024

HyungHoKim00 left a comment

HyungHoKim00 Oct 17, 2024

HyungHoKim00 Oct 17, 2024

cutehumanS2 left a comment

cutehumanS2 Oct 17, 2024

Chocochip101 Oct 18, 2024 •

edited

Loading

cutehumanS2 Oct 18, 2024

cutehumanS2 Oct 17, 2024

Chocochip101 Oct 18, 2024

cutehumanS2 Oct 18, 2024

Chocochip101 Oct 18, 2024

cutehumanS2 Oct 17, 2024

Chocochip101 commented Oct 18, 2024 •

edited

Loading

feat-be: refresh token 구현 #816

feat-be: refresh token 구현 #816

Conversation

github-actions bot commented Oct 14, 2024 • edited by Chocochip101 Loading

목적

작업 세부사항

github-actions bot commented Oct 16, 2024

github-actions bot commented Oct 16, 2024

github-actions bot commented Oct 16, 2024

github-actions bot commented Oct 16, 2024

github-actions bot commented Oct 16, 2024

📌 Test Coverage Report

Chocochip101 commented Oct 17, 2024

Chocochip101 commented Oct 17, 2024

xogns1514 left a comment

Choose a reason for hiding this comment

Choose a reason for hiding this comment

Choose a reason for hiding this comment

Choose a reason for hiding this comment

Choose a reason for hiding this comment

HyungHoKim00 left a comment

Choose a reason for hiding this comment

Choose a reason for hiding this comment

Choose a reason for hiding this comment

cutehumanS2 left a comment

Choose a reason for hiding this comment

Choose a reason for hiding this comment

Chocochip101 Oct 18, 2024 • edited Loading

Choose a reason for hiding this comment

Choose a reason for hiding this comment

Choose a reason for hiding this comment

Choose a reason for hiding this comment

Choose a reason for hiding this comment

Choose a reason for hiding this comment

Choose a reason for hiding this comment

Chocochip101 commented Oct 18, 2024 • edited Loading

github-actions bot commented Oct 14, 2024 •

edited by Chocochip101

Loading

Chocochip101 Oct 18, 2024 •

edited

Loading

Chocochip101 commented Oct 18, 2024 •

edited

Loading