TokenHashProvider.java

역할

• Refresh Token을 그대로 DB에 저장하지 않고 암호화(HMAC_SHA_256) 후 저장
• DB에 저장된 해시값과 입력값 비교 기능 제공
• 보안상 중요한 토큰 탈취 방지 처리

1. 생성자

    // 생성자에서 @Value 주입
	// properties에서 해쉬 시크릿 값 가져옴.
    public TokenHashProvider(@Value("${hasher.secret}") String hashSecret) {
    	
        // HmacUtils 객체는 한번만 생성해서 재사용 (매번 new 하면 불필요한 객체 생성됨)
        this.hmacUtils = new HmacUtils(HmacAlgorithms.HMAC_SHA_256, hashSecret);
    }

설명

• @Value("${hasher.secret}") → 외부 프로퍼티에서 해시 시크릿 주입
• HmacUtils 객체를 생성 → HMAC_SHA_256 알고리즘 + 시크릿키
• 매번 객체 생성하지 않고 재사용 → 성능 최적화

2. refreshToken 해시 생성 (hashRefreshToken)

    // HMAC_SHA_256 알고리즘
    // hashSecret을 키로 사용
    // refreshToken을 입력값으로 HMAC 계산
    // 결과를 hex 문자열로 반환
    public String hashRefreshToken(String refreshToken) {
    	
        return hmacUtils.hmacHex(refreshToken);
    }

설명

• HMAC_SHA_256 + 시크릿키 → 입력값을 안전하게 해시
• DB에 원본 토큰 저장하지 않고 해시값 저장 → DB 탈취 시 바로 사용 불가
• SHA-256 단독 vs HMAC_SHA-256 차이:
  • SHA-256 → 입력값만으로 해시 가능
  • HMAC_SHA-256 → 시크릿키 없으면 해시 생성 불가 → 보안 강화