Refresh Token이 만료된다면, 재발급 VS 재로그인 ?

보안을 중요시한다면 재로그인을, 사용자 경험을 중요시한다면 재발급을 하면 됩니다. 다만 보통 리프레시 토큰은 만료 기한을 길게 잡는 경우가 많아서, 재로그인을 시키더라도 사용자 경험에 크게 이슈는 없다고 생각하기 때문에 저는 재로그인을 추천드려요.

토큰 운영이 참 중요하죠

보통음 리프레쉬토큰의 만료기한이 긴편이고 요게 만료되면 로그인처리하는것 같아요~

Refresh Token이 만료되었다는 것은 해당 Refresh Token을 사용할 수 없다는 말인데,, 만료된 Refresh Token으로 Refresh Token을 재발급 할 수 있다라면 Refresh Token의 의미가 없지 않나요 ? 만료된 Refresh Token으로 재발급이 가능하다면 만료가 존재하지 않는 Refresh Token으로 받아들여집니다.

원래 JWT 운영이라면 리프레시 토큰을 발행하고, 그것의 유효기간 또한 만료된다면 재로그인을 요청하게 됩니다만, 저는 리프레시 토큰을 구현하는 공수와, 보안성 관련해서도 재로그인을 요청하도록 처리합니다. 다만, UX 를 많이 해치면 안되므로 accessToken 의 만료기한을 '적당히 길게' 잡아둡니다. 이 만료기한은 제 개인적인 경험에 비추어보자면, 한 유저가 사이트에 머무르는 시간의 평균 + a 로 잡아두었었습니다.