Sessions and Tokens — From the Browser to the Mesh
로그인 한 번 뒤에 오가는 쿠키·세션·CSRF 토큰·JWT·리프레시 토큰을 하나씩 직접 만들고, 흔한 공격을 내 서버에 재현한 뒤 방어를 넣어 막습니다. 세션 고정, 위조 요청, alg 혼동과 kid 교체, 리프레시 토큰 재사용을 실제 요청으로 확인하고, 폐기 전략과 서비스 간 위임(client credentials, RFC 8693 토큰 교환)을 거쳐 Envoy 가 JWT 를 검증하고 하류로 전파하는 메시 구간에서 끝납니다.
고급 · 레슨 27 · 실습 9
실습 시작하기
커리큘럼
Session cookie attributes and prefixes
Server sessions and session fixation
CSRF and the limits of SameSite
Keeping tokens out of the browser with a BFF
JWT signature verification and alg confusion
Refresh token rotation and reuse detection
Token revocation strategies
Service-to-service delegation and token exchange
JWT and mTLS at the mesh boundary
참고 문서
