인프런 커뮤니티 질문&답변

37강 (모든 Route 기본 Private로 만들고 IsPublic Annotation 작업하기) 강의 에서

8분 50초에
아래의 코드에 @IsPublic을 해줘도 아래 가드를 통과해야 해서 괜찮다고 말씀해주셨는데요.

 //access 토큰 재발급
  @Post('token/access')
  @IsPublic() // 여기가 퍼블릭이여도 밑에서 가드를 통과해야하기 때문에 괜찮다.
  @UseGuards(RefreshTokenGuard)
  postTokenAccess(@Headers('authorization') rawToken: string) {
    // 여기서 받는 rawToken은 Bearer 이다.
    const token = this.authService.extractTokenFromHeader(rawToken, true);

    // token은 refresh 토큰이다. false를 같이 던져줘서 acess 토큰이 나온다.
    const newToken = this.authService.rotateToken(token, false);

    /**
     * {accessToken: {token}} 이러한 형태로 리턴
     */
    return { accessToken: newToken };
  }

  //refresh 토큰 재발급
  @Post('token/refresh')
  @IsPublic()
  @UseGuards(RefreshTokenGuard)
  postTokenRefresh(@Headers('authorization') rawToken: string) {
    // 여기서 받는 rawToken은 Bearer 이다.
    const token = this.authService.extractTokenFromHeader(rawToken, true);

    // token은 refresh 토큰이다. true를 같이 던져줘서 acess 토큰이 나온다.
    const newToken = this.authService.rotateToken(token, true);

    /**
     * {refreshToken: {token}} 이러한 형태로 리턴
     */
    return { refreshToken: newToken };
  }

AccessTokenGuard, RefreshTokenGuard 모두 BearerTokenGuard를 먼저 수행하기 때문에 req에 IsRoutePublic가 true로 되어 있어서 AccessTokenGuard, RefreshTokenGuard 이 두 개 모두 바로 통과하는 것으로 알고 있습니다.

이렇게 되면 IsPublic 어노테이션을 사용한 상황에서는 전역으로 설정된 AccessTokenGuard는 통과하게 됩니다. 그리고 "token/access" API에 설정된 RefreshTokenGuard도 물론 통과하게 됩니다.

이렇게 되면 RefreshTokenGuard는 어디에서도 사용할 수 없는 게 아닐까요??

///////////////정리////////////////////////////////

% 토큰 재 발급하는 상황이라고 가정 %

1. IsPublic 어노테이션 설정됨 -> AccessToken 통과, RefreshTokenGuard 통과

    

   • BearerTokenGuard 통과

   • RefreshTokenGuard도 통과

   • 즉, refreshToken 인지 검증 불가능

   •  

      

      

2. IsPublic 어노테이션 설정됨 -> AccessToken 검증

    

   • 재검증 로직이므로 refresh 토큰을 보냈으므로 AccessToken 검증에서 accessToken이 아니라고 걸림

    

3. 즉, RefreshTokenGuard는 사용할 수 없게 되는게 아닌가요?