Refresh Token Rotation 갱신 토큰 순환

갱신 토큰 순환은 접근 토큰을 갱신할 때 새 갱신 토큰을 발급하고 이전 갱신 토큰을 무효화하여 탈취된 토큰의 재사용을 찾아내는 보호 방식입니다.

권한 부여 서버는 새 토큰과 이전 토큰의 관계를 보관합니다. 이미 사용해 무효화한 토큰이 다시 제출되면 정상 사용자와 공격자가 같은 토큰 계열을 사용하고 있을 가능성을 탐지할 수 있습니다. 단순히 만료 시간을 짧게 설정하거나 새 접근 토큰만 발급하는 동작과는 다릅니다.

정상 앱이 갱신 토큰을 사용한 뒤 새 토큰을 보관했는데 과거 토큰이 다시 들어오면 서버가 해당 계열을 중단하고 재인증을 요구하는 예입니다. 구체적인 중단 범위와 오류 처리는 서비스 정책에 따라 달라집니다.

순환과 송신자 결합

OAuth 2.0 보안 모범 관행은 공개 클라이언트의 갱신 토큰 재사용 탐지를 위해 송신자 결합 또는 순환을 요구합니다. 송신자 결합은 토큰을 특정 키를 가진 클라이언트에 묶는 방식입니다.

갱신과 만료

접근 토큰 갱신은 새 접근 권한 증표를 받는 행위입니다. 갱신 토큰 순환은 그 과정에서 사용하는 장기 자격 증명의 재사용을 제한하는 보호입니다.

권한 부여 서버와 클라이언트가 토큰 교체, 안전한 저장과 재사용 탐지를 함께 지원해야 합니다. 동시에 갱신하는 요청과 통신 재시도도 구현 문서에서 확인합니다.

이전 토큰을 무효화하지 않고 계속 허용하면 순환의 목적이 약해집니다. 갱신 토큰 폐기가 이미 발급한 모든 접근 토큰이나 다른 로그인 세션의 즉시 폐기를 자동으로 뜻하지는 않습니다.

아래 공식 자료의 정의와 적용 범위를 바탕으로 작성했습니다. 예시는 개념을 설명하기 위한 상황이며 실제 작업 기록을 뜻하지 않습니다.

검토 기준일: 2026-10-26

IETF RFC Editor: RFC 9700 OAuth 2.0 Security Best Current Practice

함께 이해할 용어: OAuth OAuth 권한 위임 프레임워크, DPoP 소유 증명 기반 토큰 제약, PKCE 권한 부여 코드 교환 증명, Authentication 인증, Session 세션