Next.js에서 안전한 비밀번호 재설정 흐름을 구축하는 방법(짧은 버전)

이 글은 단순한 비밀번호 재설정 구현이 계정 열거와 계정 탈취로 이어질 수 있음을 보여주며, Next.js에서 더 안전한 흐름을 만드는 방법을 설명한다.

무작위 재설정 토큰을 생성하고, 만료 시간과 일회성 사용 플래그가 있는 해시 토큰만 저장하며, 유효한 이메일과 무효한 이메일에 같은 응답을 반환하라고 권장한다.

재설정 요청에는 레이트 리밋을 적용해 남용을 줄이고, 재설정 성공 후에는 활성 세션을 회전시켜 공격자가 계속 접속하지 못하게 해야 한다.

이런 조치는 DB나 로그가 유출돼도 피해를 줄이고, 비밀번호 재설정 악용을 훨씬 어렵게 만든다.