스프링부트 + 리액트 + jwt +카카오 로그인

Question

안녕하세요 개발 공부 중인 학생입니다.카카오톡 OAuth 로그인 구현하고 있는데 프론트에서는 단순 로그인만 수행하고, 로그인 정보를 호출하는 건 백엔드에서 해야 되는 것 같아 방식을 좀 고민해봤는데, 제가 하는 방식이 맞는지 봐주시면 감사하겠습니다.우선 아래처럼https://kauth.kakao.com/oauth/authorize?client_id=아이디&redirect_uri=내서버주소&response_type=code프론트에서 버튼 만들어서 저 링크 타게 해놨고, 카카오 로그인 성공 시 리다이렉트 URL을 제가 구현한 서버로 설정해놨습니다.제가 하고 싶은 건 카카오 로그인에서 받은 auth code로 uid 값을 가져와서, 이 uid를 기준으로 DB에 가입된 유저인지 확인하고,가입된 유저라면 서버에서 자체 JWT access token + refresh token을 발급해서 응답하는 구조입니다.처음엔 단순히 redirect url에 토큰을 담아서 프론트로 응답했는데, 프론트가 서버 API처럼 리다이렉트되더라고요.그래서 지금은 서버에서 auth code로 uid 확인한 다음,가입된 유저면 → 프론트주소/main가입 안 된 유저면 → 프론트주소/register이렇게 리다이렉트해주고 있습니다.문제는 이 방식에서 토큰을 어떻게 전달할지 고민이 됐습니다.방식 1: 토큰을 쿼리로 전달로그인 성공 시,프론트주소/main?accessToken=xxx&refreshToken=yyy이런 식으로 토큰을 쿼리 파라미터로 넘겨주는 방식인데,보안적으로 위험할 수 있을 것 같아 걱정입니다.방식 2: auth code를 프론트에 넘기고 토큰은 별도 발급서버에서 auth code로 uid 확인한 뒤,프론트주소/main?auth_code=xxx이렇게 auth code만 넘기고, 프론트에서 해당 auth code를 백엔드 토큰 발급 API에 보내서 access/refresh token을 받습니다.이 경우는 auth code를 프론트에 노출하는 거라 auth code는 유효기간이 짧긴한데 괜찮을지 모르겠습니다. 또한 auth code 를 그대로 리턴하는거다보니 저러면 처음 로그인할때 redirect uri 를 서버주소로 굳이 보내야되는 생각도 들고요...현재 이렇게 두 가지 방식 사이에서 고민 중인데,혹시 더 좋은 방식이 있다면 조언 부탁드리고,위 방식 중 뭐가 더 안전한지도 알려주시면 감사하겠습니다.기존에는 프론트만 하다보니 그냥 프론트로 리다이렉트했는데 이번에 서버쪽도 생각하려니까 잘 생각이 안나는것같습니다.읽어주셔서 감사합니다.

안녕하세요플레 · Accepted Answer

리다이렉트 주소를 프론트로 하고 프론트에서 code를 사용해 백엔드에 로그인 요청-> 토큰을 본문 응답 또는 쿠키로 받음

왕감쟈 · Answer

at 쿠키에 저장하는 거 말고는 답 없습니다.

zoony · Answer

아래 링크 가보면 흐름 이미지로 만들어 놓은게 있네요. 참고하세요.oauth 로그인은 flow가 거의 다 똑같아서 인터넷 검색해보면 흐름 정리한거 꽤 많습니다.https://www.daddyprogrammer.org/post/1012/springboot2-rest-api-social-login-kakao/

WLM · Answer

OAuth2.0 + Open ID Connect 개념부터 다시 탄탄히 공부하고 시도해보세요첫줄부터 완전히 잘못이해하고계신게 느껴지네요

스프링부트 + 리액트 + jwt +카카오 로그인

4개의 답변

#oauth2 목록