구글 간편로그인 (탈퇴, refresh token)

Question

안녕하세요. 현재 구글 간편로그인을 구현중입니다.회원탈퇴 시 홈페이지에서 회원탈퇴 처리 후, 구글 간편로그인 연결을 해제해야하는데https://accounts.google.com/o/oauth2/revoke?token&#61;{access_token}해당 api에서 access_token 이 필요한데, 유효시간이 1시간이라고 들었습니다.로그인 시 세션 같은 곳에 access_token 을 저장해서 쓰려고 생각했었는데 저희 사이트는 로그인 유효시간이 2시간이여서 1시간이 지나면 access_token 이 만료됩니다.그러면 refresh_token 으로 access_token 을 재발급 받아야 하는데 보통은 refresh_token 을 어디에 저장하셔서 사용하실까요?그냥 oauth 정보가 담긴 table 에 refresh_token 컬럼을 생성해서 저장하는 것으로 생각중입니다..세션 같은 곳에 담기에는 refresh_token 은 처음 사용자 동의 화면에 나올 때만 발급되고 그 뒤로 로그인하면 access_token만 오더라고요..refresh_token 도 결국 유효시간이 있으니까 재발급이 될텐데 그 때는 사용자 동의 화면 없이 그냥 바로 로그인 처리 되면서 refresh_token 값이 같이 들어올까요..?만약 위처럼 db table 에 저장된다고 하면 로그인할 때마다 refresh_token 값이 있으면 업데이트 해주고 쓰면 될까요?구글 간편로그인 해보신 분들 도움 부타드립니다ㅜㅜ

charlatan · Answer

구글 간편로그인에서 주는 리프레시 토큰은 로그인 시간 연장용이 아닙니다. 구글 OAuth2 문서를 잘 읽어보시고 그래도 리프레시 토큰을 그런 용도로 쓰겠다하면 백엔드에 저장하는 것이 합리적이겠죠. 제 생각에는 자동 로그인 때문에 구글이 자기 사용자 정보 조회용으로 발급하는 토큰을 쓰는 건 맞지 않는 것 같습니다. 차라리 세션을 이용하지 않고 두 시간동안 유효한 JWT 토큰으로 인증을 처리하는게 나을 것 같네요.

구글 간편로그인 (탈퇴, refresh token)

1개의 답변

#token 목록