spring boot oatuh2 관련 질문!

Question

react.js (port:3000) srping boot(port: 8080) 각각 배포 한 상황입니다. 인터넷에서 많은 자료를 찾을 수 있지만, 프로덕션에서 사용하기엔 좀 많은 걱정들이 있이서, 해소 되지 않은 부분들을 몇가지 여쭈어봅니다! 1. 많은 예시를 보면, flow 는 이렇더라구요 - 사용자가 구글 로그인을 클릭함 (localhost:8080/oauth2/google?redirect_uri&#61;localhost:3000/ ) 이 링크는 서버에서 사용자를 구글 로그인으로 리다이렉트 시키고, qusery String 으로 작성된 redirect_uri 는 최종 목적지 (login 이 success 되고 난 후 이동 할 )redirect_uri 이다 - 서버(8080)에서는 이용자가 구글로그인을 할 경우 code 를 받아와서 해당 code 로 다시 provider (google) 에게 유저의 정보를 제공 받은 이후 JWT 를 생성하여 사용자가 맨처음 구글로그인을 클릭했을때 redirect_uri 에 작성된 localhost:3000에 쿼리스트링으로 accessToken 을 포함해서 리다이렉션 시킨다 (localhost:3000?accessT&#61;e.....) return UriComponentsBuilder.fromUriString(targetUrl) .queryParam(&#34;token&#34;, tokenInfo.getAccessToken()) .build().toUriString();- 클라이언트는 해당 토큰을 저장하고 후처리를 진행한다 라고 하는 경우가 많았습니다. 그런데 이렇게되면 url 에 accessToken 이 url 에 노출되는게 맞나? 싶더라구요 사실 쿠키로 심어서 보내면 되겠지만 요구사항에는 쿠키를 사용하지 않기로 했습니다. 그러면 어떻게 처리해야할까요? 도저히 클라이언트에서 안전하게 토큰을 받을 수 있는 방법이 떠 오르질 않네요 ... 2. 보통 프로덕션에서는 User table 과 OAuth2 table 을 별도로 두나요 ? ( Oauth2 테이블은 OAuth2 에서 제공받은 id, provider, userFK 정도만 저장 )

カワウソ · Answer

Q. 쿠키를 사용하지 않는 이유가 무엇인가요?리디렉션 과정에서 액세스 토큰을 직접 전달하는게 아닌 서버에서 일시적으로 저장해놓은 뒤 만료 기한이 짧은 코드나 토큰을 전달하고 액세스 토큰 조회하는 API를 제공해도 됩니다.그나저나 클라이언트에 액세스 토큰을 노출하여야하는 요구사항을 다시 살펴보는게 좋지 않을까 싶습니다. 자세히보니 토큰 기반 인증이네요.

집킨 · Answer

Oauth로그인을 클라이언트에서 처리하고 서버로는 DI값만 보냅니다서버는 받은 di값으로 프로바이더의 api를 호출해서 유효한 di인지 체크합니다유효한 di면 로그인 성공으로 판단하고 토큰발급 후 응답본문에 담아서 클라이언트에게 응답합니다그리고 통신은 https로 합니다

GGOMG · Answer

사용자 - 클라이언트(앱서버) - OAuth2 인증서버(구글, 카카오 등) - OAuth2 리소스 서버(구글, 카카오 등)사용자가 클라이언트에 로그인 요청을 보냅니다. (구글로 로그인하기 등)클라이언트는 OAuth2 설정에 따라 사용자를 인증서버로 리디렉션 시킵니다.사용자는 인증을 완료합니다.인증서버는 사용자를 인가코드와 함게 클라이언트로 리디렉션합니다.(인증서버에 클라이언트를 등록할 때 기입한 redirect_url이 이때 사용됩니다.)클라이언트는 발급받은 인가코드를 인증서버에 전송하여, Access Token을 발급받습니다.클라이언트는 Access Token을 이용하여 리소스 서버에서 사용자의 정보를 받아옵니다.이때, OpenID Connect(OIDC) 프로토콜을 사용한다면, 사용자의 인증정보가 담긴 JWT 토큰을 함께 받습니다.말씀하신 url 쿼리스트링은 4번 의 과정에서 인가코드가 클라이언트로 전달되는 과정을 말씀하신 것 같습니다.

spring boot oatuh2 관련 질문!

3개의 답변

#srpingboot 목록