localStorage에 토큰을 저장하지 마세요: 현대 앱의 안전한 인증 방법

What's the best way to do authentication in modern applications

프런트엔드 개발자에게 로그인 토큰을 어디에 저장할지 물어보면 의견이 분분합니다. 이 글은 localStorage, 메모리, httpOnly 쿠키 등 각 저장 방식의 보안 함의를 분석합니다. XSS 공격 시 localStorage의 토큰은 탈취되기 쉽고, 메모리 저장은 새로고침 시 로그아웃되는 문제가 있습니다. 반면 httpOnly 쿠키는 JavaScript가 접근할 수 없어 탈취를 막지만 CSRF 공격에 취약하므로 CSRF 토큰과 SameSite 속성으로 방어해야 합니다. 각 방식의 장단점과 사용 사례를 설명하며, 가장 안전한 방법을 제시합니다.