Oauth 소셜 로그인 관련 조언 부탁드립니다.

Question

협업 프로젝트를 이제 막 경험해보고 웹 어플리케이션을 만들고 있는 신규 개발자입니다.소셜로그인 구현에 대해 백엔드로 함께 협의하는 중에 Oauth로 각 Authorization 서버(kakao,naver,google)에서 요청후 발급 받은 accessToken과 refreshToken을 사용하고 JWT를 직접 구현해서 토큰을 사용하지는 말자! 라는 방향으로 진행되었습니다.그런데 구글링을하며 다른 사람들이 구현한 걸 보니 서버에서 받은 토큰을 사용하지 않고 대부분 직접 토큰을 생성해서 저장하고 사용하더라구요.선생님들은 어떻게 구현을 하고 계신지 궁금합니다.직접 JWT토큰을 구현해서 관리하는 방식과 Authorization 서버에서 AccessToken을 계속해서 발급받고 갱신하는 방식에서 각각의 장단점이 궁금합니다

프리스노우 · Answer

본인들 서버에서 토큰 정책을 정하셔야죠 소셜로그인은 벤더에 auth만 확인하는 거고 로그인 후에는 본인들이 정책대로 하셔야 편하죠 벤더마다 토큰 스펙도 다를텐데

charlatan · Answer

소셜로그인에서 구글이나 네이버에서 발급하는 토큰들은 자기들 사용자 정보를 다른 제3자가 접근할 수 있도록 해주는 목적입니다. 예를 들어 내 애플리케이션에서 구글의 사용자 정보를 가져올 때 사용한다는 말이죠. 그렇게 하려면 사용자가 내 애플리케이션이 구글에 접근할 수 있도록 허용해주어야 하는데 그 과정에서 사용자가 구글에 로그인해서 액세스 토큰을 받게 되는 겁니다. 인증은 바로 이 부분만을 이용하는 것이고 그 토큰을 보관해서 계속 사용할 이유가 그렇게 많지 않습니다. 내 애플리케이션이 지속적으로 구글에서 사용자 정보를 가져와야 한다면 모를까... 그러니까 초기 인증 용도로 사용하는 것은 맞지만 그것을 내 애플리케이션의 인증용으로 사용하는 것은 여러 가지 복잡하고 의미없는 작업만 추가됩니다.

Oauth 소셜 로그인 관련 조언 부탁드립니다.

2개의 답변

#oauth 목록