Oauth 소셜 로그인 질문드립니다.

Question

최근 웹으로 소셜 로그인 구현할 일이 생겨 숏컷으로 구글에 검색해 복붙하려고 했는데 블로그 100이면 100인가코드 또는 액세스 토큰을 서버와 프론트가 서로 주고받고 있네요 아무리 봐도 이상해 공식문서를 아직 구글-카카오 밖에 보지는 못했는데 하이브리드앱을 제외하고는 네이티브앱일경우는 모바일이 싹다 인증을하고 REST API, 서버사이드 어플리케이션일 경우도 서버가 싹다 인증을 처리하도록 플로우가 나와있고 인가코드 액세스토큰 서로 주고받지말라고 나와 있는데도 왜 저렇게 구현했는지 의문입니다. 정말 100이면 100다 인가코드 넘겨주는 방식으로 구현해 놔서 뭐가 있나 궁금하네요,,

이미사용중인닉네임이굉장히많아요 · Answer

작성자 분이 맞아요 예상하는데 서버에서 모든 인증을 처리하면 프론트에서 서버의 화면을 봐야해서 그건 RESTful 하지 못하다고 생각하는 일부 개발자들이 인가코드 주고 받고 하는 시퀸스를 만들어낸거같습니다. 아니면 하이브리드처럼 어쩔 수 없이 그렇게 구현해야할 때가 있어서 그럴 수도 있구요

딥어스 · Answer

보안적인 측면에서 보면 모든 검증은 서버에서 이루어지는 게 맞습니다.(다만, 기본적으로 서버에서 에러응답을 뱉기 전, 클라이언트에서 1차적으로 검증을 수행합니다. 클라이언트 메모리에서 먼저 선처리하는 게 불필요한 서버통신을 발생시키지 않기 때문이기도 하죠.)무튼, 프론트하고 서버가 액세스 토큰을 주고받는다는 게, 인증/인가를 위한 거라면프론트쪽에선 단순히 액세스 토큰을 서버로 전달하여 검증을 요청하는 입장이라고 생각됩니다.서버쪽은 클라이언트가 요청한 액세스 토큰을 복호화해서 실제 내 서버 키가 맞는지 검증하는 역할만 수행하는 걸로 알고 있어요.근데 궁금한 점이, 액세스토큰을 주고받지 않는다면 서버는 어디서 액세스 토큰을 받는지...?

메로나한입만 · Answer

그건 OAuth2를 안쓴 방식 아닌가여?ㅋㅋㅋ

charlatan · Answer

간편 로그인, 소셜 로그인 인증의 오남용인 것 같아요. 심지어 리프레시 토큰까지 브라우저에 저장해놓고 이걸 다시 서버로 넘기는 경우도... 아마 OAuth2 표준 문서의 도식에서 클라이언트를 웹 브라우저로 오해하는데서 비롯된 것이 아닐까 짐작해봅니다.

Oauth 소셜 로그인 질문드립니다.

4개의 답변

Q&A 목록