oauth2 인가코드

Question

Kakao 공식문서에서 OAuth2 동작 과정 중 인가 코드, 토큰을 모두 백단에서 처리하는걸로 나와있습니다. spring의 oauth2-client도 백단에서 호출해서 자동으로 인가코드, 토큰을 발급하여 사용자의 정보를 받는걸로 압니다. 해당 라이브러리를 사용하지 않고 직접 엔드포인트를 설정하여 호출을 하는 프로젝트들을 봤는데 대다수가 인가코드를 프론트한테 받고 이를 이용해 토큰은 백단에서 발급을 하더라구요. 인가코드를 프론트에서 전달 받는 이유를 모르겠습니다. 카카오 서버에서 리다이렉트 url을 설정 할 때 프론트로 할지, 백엔드로 할지에 따라서 인가코드를 어디서 받냐인것 같은데 공식문서대로 안하고 프론트한테 전달 받는 이유가 따로 있나요??이해가 안가는게 도메인 하나만 이용하고 nginx를 이용해서 /api는 백엔드 서버를 호출합니다. 그럼 쿠키의 SameSite 문제도 생기지 않는데도 프론트한테 받는 이유가 뭔가요? 동작과정이 자연스럽다는데 자연스러운게 뭔지 모르겠습니다. 추가 정보 기입하는것도 아닌데. 백엔드에서 모두 처리 후 헤더에 엑세스 토큰, 쿠키에 리프레시 토큰을 세팅하면 프론트에서 얻기가 어렵나요?local, dev, prod 환경으로 나눠서 개발을 한다고 생각하면 애초에 localhost:3000(FE), localhost:8080(BE)는 쿠키를 전송 못 받는걸로 알고있습니다. 그럼 개발 환경에 따른 편리함도 아닌것 같고 어렵네요 ㅠㅠ

Dierslair · Answer

oauth2 스펙에서는 public client라고 해서 프론트만 존재하는 SPA 사이트나 하이브리드 앱에서의 사용성을 고려하여 프론트에서 인가 코드를 받아 사용하는 스펙이 있습니다.문제는 백엔드 서버가 있음에도 개발하기 편하기 때문(콜백 신경쓰지 않고 관련 라이브러리를 직접 사용)에 남용하는 경우가 많습니다.public client는 보안 위협에 취약하기 때문에 oauth2에서는 모든 흐름은 백엔드 서버에서 수행하여야 합니다.이는 oauth2.1이 되면서 어느 정도 강제됩니다.작성자님께서 이해하신 사용 방법이 원칙적으로는 알맞은 방법입니다.

oauth2 인가코드

1개의 답변

#oauth2 목록