강제 로그아웃을 시킬 방법이 없다.

보안백엔드난이도★★★★★

강제 로그아웃을 시킬 방법이 없다.

Q.

404Vibe 로그인을 만들 때 AI가 "요즘 표준"이라며 JWT를 추천했다. 서버는 세션을 저장하지 않고, 토큰의 서명만 검증한다(만료 24시간).
그런데 어느 날 한 사용자가 "노트북을 도난당했어요, 제 계정 로그아웃시켜주세요"라고 요청했다. 하지만 이미 발급된 토큰을 무효화할 방법이 서버에 없다.
이 상황에 대한 가장 정확한 이해는?

1

JWT 서명용 비밀키를 교체해 기존 토큰을 무효화하고, 이후 로그인부터 새 키로 토큰을 발급한다.

2

서버가 JWT의 서명과 만료 시간만 검증하도록 유지하되, 토큰 만료 시간을 더 짧게 줄여 위험 시간을 제한한다.

3

액세스 토큰은 짧게 유지하고, 갱신에 사용하는 리프레시 토큰은 서버에서 저장·관리해 필요 시 특정 사용자의 갱신 권한을 차단할 수 있게 한다.

4

JWT를 httpOnly 쿠키에 저장해 자바스크립트에서 토큰을 읽지 못하게 하고, 토큰 탈취 가능성을 낮춘다.

선택지를 고른 뒤 제출하면 정답과 해설을 확인할 수 있어요.