본문 바로가기
Q&A2022년 1월 14일1분 읽기

JWT를 localStorage에 저장하면 안 되나요?

나
나윤아
조회 805댓글 1

JWT를 localStorage에 저장하는 게 위험하다고 하는데 어디에 저장해야 하나요?

이전 글
정규표현식(Regex) 자주 쓰는 패턴 정리
다음 글
리눅스 프로세스 관리 명령어 정리

댓글 1

김김영삼4년 전

localStorage는 XSS 공격에 취약합니다. JavaScript로 접근 가능하기 때문이죠.

저장 위치별 비교:

  • localStorage — XSS에 취약, CSRF에 안전
  • HttpOnly 쿠키 — XSS에 안전, CSRF 주의 필요
  • 메모리 (변수) — 가장 안전, 새로고침 시 사라짐

추천 방식:

  • Access Token → 메모리(변수)에 저장
  • Refresh Token → HttpOnly + Secure + SameSite 쿠키
  • 새로고침 시 refresh token으로 access token 재발급

이 방식이 보안과 사용성의 균형을 잡는 가장 좋은 방법입니다.

Ctrl+Enter로 등록