SPA 보안 취약점을 차단하는 BFF 패턴과 Refresh Token Rotation(RTR) 탈취 감지 아키텍처
React, Vue, Next.js 등 현대적인 단일 페이지 애플리케이션(SPA)과 모바일 클라이언트가 마이크로서비스 백엔드와 통신할 때 인증 수단으로 JWT(JSON Web Token)를 채택하는 것은 매우 일반적입니다. 하지만 많은 시스템이 여전히 Access Token과 Refresh Token을 브라우저의 localStorage나 sessionStorage에 무방비로 저장하는 치명적인 보안 결함을 안고 있습니다. 서드파티 라이브러리나 CDN을 통해 침투한 악성 스크립트(XSS, Cross-Site Scripting)는 자바스크립트 실행 환경에서 localStorage의 모든…