Bearer Token이란?
"가진 사람이 그 권한의 소유자(bearer)"라는 의미다. 서명 검증은 서버가 하지만, 토큰 자체에 추가 인증 없이 쓸 수 있어 탈취 시 위험하다.
Authorization: Bearer eyJhbGc...보안 규칙
- HTTPS 필수
- localStorage 지양 — XSS 시 탈취, HttpOnly 쿠키 권장
- 짧은 만료 + Refresh Token 조합
- 민감 작업은 재인증 요구
대안
DPoP, mTLS — 토큰에 "이 클라이언트만 쓸 수 있다" 바인딩 추가. OAuth 2.1에서 강화.