OAuth2에서 Redirect URL에 매핑된 함수는 어떤 일을 하나요?

Question

안녕하세요. 스프링부트2 & 스프링 시큐리티5로 OAuth2 인증을 구현하고있습니다. (토이 프로젝트로) 예전에 스프링부트1로 OAuth2를 구현했었는데, 당시에는 기한때문에 좀 막코딩을 했었습니다. 이번에 자바 / 스프링 / 시큐리티를 공부하면서 OAuth2를 제대로 구성해보려고 공부중인데요. Client / Resource Server / Authorization Server를 모두 분리해서 각각 구성하는 것을 목표로 하고 있습니다. 여러 블로그나 스택 오버플로우를 뒤져봤지만, &#64;EnableXXX 류의 어노테이션을 붙이면 자동으로 된다 ! 라고만 되어있지 상세한 설명은 없더군요. 공식문서를 정독하거나 소스코드를 까보자니 토이프로젝트의 범주를 한참 넘어서는 것 같아서요. 물론 나중에 구현 후에 고도화 하면서는 볼 생각입니다. 아직 오어스에 대한 개념이 정확하지 않고 큰 그림만 알고 있어 막상 실제 구현하려니 막힘이 많습니다.그리고 스프링부트2로 넘어오면서 시큐리티쪽의 OAuth2 부분에서 변화가 생겨서 블로그를 보고 똑같이 작성해도 돌아가지 않는 사태가 벌어지더군요.검색해보니 스프링부트2와 디펜던시의 버전에 따른 문제였습니다.여기까진 오케이인데.. 현재 막힌 부분은 RedirectURL입니다. Client에서 Authorization Server로 인증을 요청(/oauth/authorize)할 때, Redirect URL을 포함해서 요청하는 것으로 알고있는데요. 처음에 Redirect URL이라는 단어를 봤을 때 그 의미가 좀 명확하지 않은 것 같습니다. 처음에는 인증을 마친 후 보고싶었던 페이지로 돌아가기위한 URL이라고 생각했습니다.인증 성공 후 리다이렉트로 생각한거죠. 그런데 막상 구현하다가 리다이렉트 url은 보고싶었던, 인증이 필요한 페이지로 돌아가는게 아닌 것 같더군요. 그 이유가 yml에서 하드코딩하고, 이를 인증서버에서도 등록해야 하는것이더군요. 실무하면서 작년에 페이스북에서도 정책이 변경되면서 콜백 full url을 기술하지않으면 oauth 인증이 안됐던 것으로 기억합니다. 그런측면에서 봤을 때, RedirectURL은 제가 생각했던 것 처럼 보고싶은 페이지가 아니라,(/a url 요청했을 때 redirecturl이 /a로 박히거나, /b url 요청했을 때 redirecturl이 /b로 박히는게 아닌)로그인이 성공하고 state와 code가 파라미터로 날아오면 이걸 파싱해서 SecurityContext? OAuth관련 Context에 세팅해주는 것 같은데, 맞는건가요? 혹시 어떤 일을 하는지 보려면 어떤 클래스의 내용을 봐야하는지요 ?? 현재는 로그인 성공 후 state와 code가 redirect url로 붙어서 날아오는 것은 확인했지만계속 인증이 안된 상태로 Authorization Server의 로그인 페이지를 띄우는 상황입니다. (코드 302) 보아하니 어노테이션에 의해 클라이언트의 /oauth2/authorization/<provider name> 이거를 리다이렉트 url로 등록해야하는 것 같은데.. (맞는 건지도 모르겠네요 - -;) 직접 컨트롤러로 짠게 아니라 디펜던시 추가하고 yml에 추가하고 어노테이션에 의해 자동 처리되는 것 같은데.. 맞나요 ? 조언부탁드리겠습니다. 클라이언트의 디펜던시는 spring-security-oauth2-client 5.1.5spring-boot-starter-security 이며 스프링부트 버전 2.1.4입니다.

charlatan · Accepted Answer

제가 질문을 잘 이해했는지 모르겠지만...지금 본문에 &#34;리다이렉트 URL&#34;은 아마 클라이언트가 사용자를 인증서버 로그인 페이지로 리다이렉트 하는 것을 마치 로그인 성공 후 리다이렉트하는 것으로 생각했기 때문에 혼란에 빠진 것이 아닐까 싶습니다.인증서버에 등록해주는, 구글 기준으로 말하면 &#34;승인된 리디렉션 URI&#34;는 클라이언트에 어떤 요청 매핑이 되어야 하는 것은 아니고 스프링 시큐리티에서 인증 실패(예외)가 발생하면 사용자 웹브라우저에 인증서버 로그인 페이지로 리다이렉트 해주고 다시 인증서버가 클라이언트로 Authorization Code를 넘겨줄 때 사용하는 URL입니다. 그러니까 스프링 시큐리티 필터가 사용하는 정보인 셈이죠.즉 oauth2 흐름상 Authorization Code만 받은 상태이고 이제 액세스 토큰을 받아야 하는 단계가 남은 겁니다. 아직 사용자 인증이 완료되지 않은 것이죠. 받았다고 생각한 코드는 아마 Authorization Code일 겁니다. 그 Authorization Code를 가지고 엑세스 토큰을 받아서 그걸로 사용자 정보를 리소스 API서버로 다시 요청해야 하는 단계가 아직 남은 것 같습니다.그런데 스프링부트&#43;시큐리티&#43;oauth2 예제는 꽤 많아서 자료 찾기는 수월할 듯 싶은데... 아무튼 참고가 될만한 글을 링크합니다. [도움글]그리고 아래는 스프링부트는 아니고 레거시 스프링(XML방식)으로 oauth2를 간단하게 구현한 예제입니다. 레거시라 큰 도움은 안되겠지만... &#x1f605;[참고]

원숭이부대 · Answer

&#64;freestyle감사합니다. 2개의 URL 모두 처음 보네요. 현업에서 php만 하다가 자바개발자로의 전환을 준비하고있는데, 나름 최신 트랜드를 따라가려고 무조건 최신 버전 때려넣다가.. 이렇게 됐네요. 자료는 많이있긴 하나 대부분 프로젝트 하나로 클라이언트 &#43; 리소스서버 &#43; 권한서버로 밀어넣은 것 밖에 없더군요. 그러다보니 컨픽도 혼재되어있어서... 정확히 이 컨픽이 어느 컨픽에 필요한건지 알려는 목적으로 아예 프로젝트도 나누고 하고는 있습니다만은 쉽지 않네요.. 감사합니다.

OAuth2에서 Redirect URL에 매핑된 함수는 어떤 일을 하나요?

2개의 답변

#springboot2 목록