bcrypt 12-round 및 httpOnly Cookie 기반의 보안 Auth 설계 전략

Context

단순 UI 구현 중심의 튜토리얼로 인한 실제 운영 환경의 보안 결함 발생 가능성 증대. 특히 localStorage 사용으로 인한 XSS 취약점 및 부적절한 패스워드 해싱으로 인한 데이터 유출 위험 상존.

Technical Solution

• Brute-force 공격 비용 증대를 위해 bcrypt work factor 12 적용을 통한 패스워드 해싱 처리
• XSS를 통한 토큰 탈취 방지를 위해 localStorage 대신 httpOnly 및 Secure 옵션의 Cookie 저장소 채택
• 서버 Stateless 특성 유지와 즉각적인 세션 무효화 구현을 위해 Short-lived Access Token과 DB 기반 Refresh Token의 하이브리드 구조 설계
• Access Token 만료 시간 15분 설정을 통한 토큰 유출 시 피해 범위 최소화 및 Refresh Token을 통한 세션 연속성 확보
• 비밀번호 변경 시 모든 기존 세션을 강제 종료하는 전역 토큰 Invalidation 로직 구현을 통한 계정 탈취 사후 대응력 강화