서버 소셜로그인 API 설계를 둘 중 어떻게 하면 좋을까요?

Question

안녕하세요. 스프링 배우면서 프로젝트하고 있는 학생입니다. 클라이언트에서 카카오로 로그인 요청하고 받은 토큰을 서버에 전달하면 서버단에서 다시 카카오에 그 토큰으로 요청해서 회원정보를 받아와서 로그인/또는 회원가입을 시키려고합니다. 그런데 이때 회원가입이 되어있지 않으면 약관동의와 닉네임 등록, 그리고 테스트를 진행해야하는데요. 1. 첫번째 방법소셜로그인 API와 회원가입API만 만들어서, 소셜로그인API로 요청했을떄 회원이 아니면 error를 던져주고 클라이언트 단에서 error을 캐치해서 회원가입API로 요청하는 방식 2. 두번째 방법회원여부 조회API, 소셜로그인API, 회원가입API를 만들어서 클라이언트에서 우선 카카오에서 발급받은 토큰으로 회원여부조회API를 통해서 등록된 회원인지 여부를 전달받고 등록된 회원이라면 소셜로그인API 요청, 등록된 회원이 아니라면 회원가입 API를 요청 둘중 어느 방법이 더 옳을까요? 또, 고민되는게 하나 더있는데, 만약 회원여부 조회 API를 get으로 만들면 등록된 회원이면 200번대, 등록된 회원이 아니면 400번대 Error를 전달해주는 API설계는 옳은 설계인가요? 답변주시면 감사하겠습니다.

꿈의연봉1800 · Accepted Answer

토큰을 직접 주는 방식은 상대적으로 간편하고 써도 문제는 없습니다 (클라이언트에서 토큰을 직접 써서 oauth 프로바이더와 통신하는 경우는 이것말곤 선택지가 없음) 근데 어차피 서버에서 토큰을 처리하는 과정이 있기 때문에 (무결성 체크 후 토큰으로 유저 정보 질의)좀 더 안전하고 리프레시 토큰도 발급 가능한 code 방식을 추천드린것입니다

꿈의연봉1800 · Answer

얘기를 들어보면 oauth를 쓰겠다는걸로 들리는데서버를 끼고 동작하는 서비스면 보통 토큰을 바로 클라이언트에서 주는게 아니라 code를 발급받고 이걸 서버로 전달한 뒤 서버에서 토큰으로 바꿔서 사용합니다 (최소한의 보안입니다)가입 여부를 get으로 하는건 상관 없는데 거기에 oauth 토큰을 쓰는건 그닥 추천드리지 않습니다 code를 발급 받는 방식은 서버에서 code를 토큰으로 녹이는 절차가 필요하기 때문에로그인/결과 (성공, 실패, 비회원)를 첫 요청에서 처리할 수 있고이 정보를 토대로 라우팅(spa인 케이스) 하거나 서버에서 리디렉트 하시면 됩니다

chaeppy · Answer

https://daddyprogrammer.org/post/1012/springboot2-rest-api-social-login-kakao/위사이트의 플로우 이미지 같이 클라이언트에서 access_token까지 받아오고 그걸 api서버로 전달해서 유효성을 검증하는 방식으로 하려는데 옳지 않은 방법인가요?? 또, 아래는 구글의 예시지만 구글도 클라이언트(안드로이드, ios)쪽에서 ID토큰을 발급받고 서버에서 유효성확인후 정보를 뽑아오는 방식으로 개발하려고합니다. 백엔드 서버와 통신하는 앱 또는 사이트에서 Google 로그인을 사용하는 경우 서버에서 현재 로그인한 사용자를 식별해야 할 수 있습니다. 안전하게 하려면 사용자가 성공적으로 로그인한 후 HTTPS를 사용하여 사용자의 ID 토큰을 서버로 보냅니다. 그런 다음 서버에서 ID 토큰의 무결성을 확인하고 토큰에 포함된 사용자 정보를 사용하여 세션을 설정하거나 새 계정을 만듭니다.https://developers.google.com/identity/sign-in/android/backend-auth

꿈의연봉1800 · Answer

첫링크의 예시는 별로 안좋은 것 같고 카카오에서 제공하는 문서가 있을테니 그걸 보시면 됩니다

chaeppy · Answer

아~ 감사합니다!!

서버 소셜로그인 API 설계를 둘 중 어떻게 하면 좋을까요?

5개의 답변

#social 목록