[JWT] JWT 인증 시스템 가이드

header.payload.signature

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJpZCI6IjY1YWJjZDEyMzQ1Njc4OTAiLCJ1c2VybmFtZSI6ImpvaG4iLCJwcm92aWRlciI6ImxvY2FsIiwiZW1haWwiOiJqb2huQGV4YW1wbGUuY29tIiwiaWF0IjoxNzAwMDAwMDAwLCJleHAiOjE3MDAwMDA5MDB9.서명부분

클라이언트 API 요청
        ↓
서버: "토큰 만료됨" (401 Unauthorized)
        ↓
axios interceptor가 401 감지
        ↓
자동으로 /api/auth/refresh 호출 (Refresh Token 쿠키 포함)
        ↓
새 Access Token 수신
        ↓
원래 요청 자동 재시도
        ↓
사용자에게 결과 전달 (seamless)

const logoutUser = async (req, refreshToken) => {
  // 1. DB에서 세션 삭제
  const session = await findSession({ userId, refreshToken });
  await deleteSession({ sessionId: session._id });

  // 2. Express 세션 파괴
  req.session.destroy();
};

Day 1: 로그인 → Refresh Token (7일 유효)
Day 2: 브라우저 열기 → Access Token 없음 → Refresh로 갱신 → 로그인 유지
Day 3: 같은 방식...
Day 7: Refresh Token 만료 → 다시 로그인 필요

// 방법 1: 만료 시간 분기
if (rememberMe) {
  expiration = 30일;
} else {
  expiration = 1일;
}

// 방법 2: 세션 쿠키 사용
if (rememberMe) {
  cookie.expires = 30일;
} else {
  cookie.expires = undefined;  // 브라우저 닫으면 삭제
}