Spring Boot製APIにおける認証機構の実装

Question

Spring Boot 2において、SPAのバックエンドAPIを作っています。
IDとパスワードによるログイン機構を作成したいのですが、以下の実装でセキュリティ等の問題はありますでしょうか。

1. /login エンドポイントにIDとパスワードをPOST
2. IDとパスワードが合致していたらトークンを発行し、データベースに保存、ユーザーに返却
3. 認証が必要なエンドポイントにトークンと共にリクエストし、トークンからユーザーを取得

よろしくお願いします。

Answer 1

セキュリティの問題があるかどうかという問いだと、回答が難しいですね。完璧なセキュリティというのは存在しないので。

ご提示の例で私が気づいた点としてはトークンの有効期限でしょうか?
ログインしてから、発行されたトークンはセッション切れるまで残っているように見えますが、なるべく短い期間内で無効にすると更にセキュリティがあがると思います。