[Dev Log] 🔑 Refresh Token, 정말 안전한가?? 

### Refresh Token은 정말 유저리소스를 보호하는 안전한방법인가
+ Refresh Token의 존재이유에 대해서는 토큰 스프린트를 진행할 때 배웠다.
+ Access Token에는 유저의 민감한 정보가 담겨있기 때문에 브라우저에 오래 저장해둔다면 보안위험에 오래 노출됨을 의미한다.
+ 그래서 Access Token을 짧게 유지하자니 유저경험이 하락하는데, 이때 사용되는것이 Refresh Token.
+ 스프린트를 진행할 때도 언급이있던부분이지만 Refresh Token이 탈취당하면 끝이아닌가 라는 생각이 안들 수 가 없다. 완벽한 보안은 없기에 당연히 맞다. 해커가 Refresh Token이 탈취해 Access Token을 발급받으면 그만이다.
+ Token은 토큰자체가 식별의 의미를 갖고 무기명으로 작성되기때문에 결국 토큰을 보낸이가 누구인지 알 방법이 없다.

### 아무 의미없는 방법을 도입하진 않았을터
+ Refresh Token을 더 안전하게 사용하는 한가지 방법을 제안하는 글을 읽었다. 간단히 말하자면 **_Token Family_** 를 만드는 방식
+ Token Family의 접근방식은 토큰을 보내는 사람이 **_유저인지 해커인지 구분하는 방법이 없기때문에 모두 해커로 보자_** 정도로 받아들일 수 있다.

#### Token Family 매커니즘
+ Access Token이 만료되면 클라이언트는 Refresh Token을 사용해서 Access Token을 재발급 받는다.
+ 이때 서버는 Refresh Token도 함께 재발급한다.
+ 그리고 서버는 **_기존에 사용한 Refresh + Access 토큰쌍_** 과 지금 **_새로 발급한 Refresh + Access 토큰쌍_** 을 모두 저장한다. 이것이 Token Family 이다. (이제 기존토큰쌍을 토큰1, 새토큰쌍을 토큰2라고 표현하겠다.)
+ 이 상태에서 클라이언트가 토큰1을 사용해서 정보를 요청한다면? 무언가 잘못됐음을 알 수 있다. 분명 클라이언트는 이제 토큰2를 사용해서 요청을 보내야하는 상황이기때문
+ 이 때 토큰1을 사용해서 요청을 보낸쪽이 유저인지 해커인지 알 수 없다. 토큰1의 Access Token이 만료된 상태로 서버로의 요청을 먼저보낸쪽이 어느쪽인지부터 이미 알 수 없었다. 위에 Token Family의 접근 방식에서 말했다싶이 모두를 해커로 보면된다.(이미 뭔가 잘못됐기 때문)
+ 서버는 이 상황을 인지하고 토큰1과 토큰2의 접근권한을 모두 무효화시킨다. 그리고 클라이언트에게 새로운 인증을 요청한다.

### 내 생각은

아무튼 Refresh Token의 탈취를 막는 직접적인 방법이 아님은 확실하다. 하지만 완벽한보안은 없고 보안의 벽을 한층 두텊게 만드는 방법은 맞다고 본다.
해킹시도가 없다면 유저는 Refresh token을 무기한으로 사용할 수 있게되서 유저경험을 최대한 보장할 수 있지 않나싶다.
이번 프로젝트에서 Refresh Token을 이용해볼까했는데 Access Token과 단순히 토큰의 수명의 차이로 두기에는 너무 무의미한게 아닌가싶어서 찾아본 정보이다. 내가 정확이 이해한것이라면 좋겠다. 프로젝트에 적용해볼 수 있는지는..... 시도는 해볼 예정이다.

### 참고한 레퍼런스
[What Are Refresh Tokens and How to Use Them Securely](https://auth0.com/blog/refresh-tokens-what-are-they-and-when-to-use-them/)