소셜로그인 궁금한 점들 있습니다. 제발 도와주세요

Question

OAuth2.0을 통해 access token, refresh token을 받아오는 것까지는 이해했습니다.그런데 찾아봐도, GPT에게 물어봐도 도저히 모르겠는 것들이 있습니다.access token을 통해 카카오에서 사용자 정보를 가져와 저의 서비스 DB에 저장합니다. 이때 로그인 유지, 자동 로그인을 구현하려면 꼭 사용자 정보를 통해 jwt를 만들어야 하나요?만약 jwt를 만들어 사용한다면 이제 카카오에서 발급받은 access token과 refresh token은 사용할 이유가 없는데 데이터베이스에 접근해야 하나요?만약 jwt를 만들지 않고 access token을 jwt대신 사용할 수 있나요? 이때 저의 서비스 백엔드 api를 조회할 때마다 해당 access token을 카카오에서 validate하는 과정을 거쳐야 하나요??완성도 있는 앱을 만들고 싶은 마음이 있습니다. 그래서 야매가 아닌 '맞는' 방식으로 개발하고 싶습니다.개발자님들 도와주세요ㅠㅠ

GoodGood · Answer

만들지 않고도 사용은 가능하죠. 다만, 말씀하신대로 해당 토큰에 대해서 validation은 항상 카카오에 요청해야 할거에요만약 jwt를 직접 구성한다면 validation은 백엔드에서 직접 수행할 수 있겠죠저는 가입 및 로그인시에만 kakao access token을 사용했고, 해당 token에서 가져올 수 있는 유저 id를 jwt에 넣어서 사용자 클라이언트에 저장해뒀습니다.그럼 사용자는 요청시마다 jwt를 담아서 보내고 저는 백엔드에서 jwt를 검증하기만 하면 되죠

RWB · Answer

보통은 소셜 플랫폼에서 Access Token을 발급받고, 토큰에 포함된 사용자 정보를 토대로 자신의 서비스에 맞는 JWT를 만드는 편입니다.이유는 여러가지가 있겠지만, 플랫폼이 준 Access Token의 경우 서비스가 능동적으로 다루기 어렵다는 특징이 있습니다. (페이로드, 만료시간 등)소셜 플랫폼에서 준 Refresh Token은 소셜 플랫폼의 Access Token을 재발급받기 위한 토큰으로, 서비스에서 JWT를 직접 만들어서 관리할 경우엔 필요 없습니다.그럼 질문자분의 두 번째 질문처럼, 그냥 플랫폼의 토큰체계를 그대로 써도 되냐는 궁금증이 생기는데..일단 가능은 합니다만, 소셜 플랫폼마다 정책이 조금씩 다르니 확인해보시기 바랍니다. Access Token이 일회성인 곳도 있어서, 제 기억엔 한 번 토큰 받아서 정보 취득하면 다시 발급받아야하는 경우도 있었습니다.플랫폼 토큰 이용하신다고 하면 인증은 전적으로 소셜에 의존하게 되니, 계정 관련 DB는 필요 없을겁니다.보안상 토큰 사용 시마다 인증 절차는 반드시 거쳐야합니다.

소셜로그인 궁금한 점들 있습니다. 제발 도와주세요

2개의 답변

기술 목록