OAuth2 Token Introspection 설계: JWT만으로 안 될 때, 언제/왜 introspection을 쓰나

OAuth2 Token Introspection 설계: JWT만으로 안 될 때, 언제/왜 introspection을 쓰나

JWT는 빠르지만, '즉시 폐기' 같은 요구가 생기면 구조적으로 불리할 수 있습니다.
Token Introspection을 언제 도입하고, 운영에서 어떤 비용을 감당해야 하는지 정리합니다.

이 글의 목표는 '개념 정리'보다, "어떤 기준으로 결정할지"와 "어떻게 운영에서 사고를 줄일지"를 남기는 것입니다.

왜 이게 어려운가(운영 관점)

보안은 '켜면 끝'이 아니라, 환경(도메인/HTTPS/프록시)과 결합된 실제 동작이 중요합니다. 그래서 단계적 도입과 관측이 핵심입니다.

보안 설정은 예외가 생기기 쉬우므로, 예외를 '운영 프로세스'로 관리(만료/승인/감사)하지 않으면 시간이 지날수록 사고 확률이 커집니다.

실전 내용(바로 적용)

JWT는 빠르지만, '즉시 폐기' 같은 요구가 생기면 구조적으로 불리할 수 있습니다.
Token Introspection을 언제 도입하고, 운영에서 어떤 비용을 감당해야 하는지 정리합니다.

핵심 요약(결론부터)

• 기준(정책)을 먼저 정하고, 구현/도구는 그 다음에 선택한다
• 실패/예외/회귀를 운영 체크리스트로 막는다
• 공식 문서를 최종 근거로 삼고, 팀 문서로 재가공한다

JWT의 장단점

장점: 로컬 검증(빠름)
단점: 즉시 폐기/권한 변경 반영이 어렵다(만료까지 남음)

Introspection이 필요한 순간

즉시 폐기(강제 로그아웃), 권한 변경 즉시 반영
토큰이 짧지 않거나 리스크가 큰 도메인

운영 포인트

introspection endpoint는 병목/단일 장애가 될 수 있다
캐싱(짧게) + 타임아웃/서킷브레이커를 같이 설계

운영 체크리스트(바로 적용)

• introspection 호출량을 예측(캐시 포함)하고 용량을 잡는다
• 장애 시 폴백 정책(deny/allow)을 합의한다
• 감사 로그/권한 변경 이벤트를 추적 가능하게 한다

FAQ

Q. 그럼 JWT를 쓰면 안 되나요?
A. 그게 아니라 요구사항에 따라 조합이 달라집니다. 짧은 access token + refresh rotation 같은 전략도 함께 비교해야 합니다.

마무리: 다음 액션

• 팀의 기본값(정책)을 1페이지로 문서화한다
• 대표 시나리오 1개를 코드/설정 예시로 고정한다
• 배포 전후 지표(p95/p99, 오류율)를 비교해 효과를 확인한다

자주 하는 실수(사고 패턴)

• 보안 설정을 일괄 적용하고, 깨지는 곳을 땜질한다(원인 추적이 불가능해짐)
• 테스트/로컬에서만 되는 설정을 프로덕션에 그대로 반영한다(도메인/HTTPS 차이)
• 민감정보(토큰/비밀번호)를 로그에 남겨 2차 사고를 만든다
• 예외를 무기한으로 두고, 소유자가 없는 정책을 만든다

적용 순서(추천)

• 1) 무엇을 막는지(위협 모델)를 한 줄로 적는다(CSRF/XSS/탈취/권한 상승 등)
• 2) 기본값을 보수적으로 정한다(예: Secure/HttpOnly/SameSite 등)
• 3) 예외는 만료일/사유/승인자를 남긴다
• 4) E2E로 확인한다(도메인/HTTPS/프록시 포함)
• 5) 보안 이벤트를 지표/알람으로 운영한다(로그인 실패, 권한 거부, 토큰 재사용 등)

검증/회귀 방지

• 브라우저 DevTools에서 쿠키/헤더가 실제로 어떻게 붙는지 확인
• 프록시 뒤에서 HTTPS 인식이 올바른지 확인(X-Forwarded-Proto 등)
• 민감정보가 로그에 남지 않는지 샘플링 점검

팀 합의 템플릿(복붙용)

# 운영 규칙 템플릿(복붙용)
기본 정책: (예) 쿠키 HttpOnly; Secure; SameSite=Lax
예외 정책: (예) SameSite=None 필요 시 Secure 필수
감사/승인: 정책 변경은 PR + 승인 필수
복구: 계정 잠김/2FA 분실/권한 오류 대응 절차 링크

FAQ

Q. 그럼 JWT를 쓰면 안 되나요?
A. 그게 아니라 요구사항에 따라 조합이 달라집니다. 짧은 access token + refresh rotation 같은 전략도 함께 비교해야 합니다.

참고/출처

버전/환경에 따라 동작이 달라질 수 있으니, 최종 기준은 공식 문서를 확인합니다.

• RFC 7662: OAuth 2.0 Token Introspection
• RFC 7519: JWT