spring security 에서 oauth 로그인 유지는 어떻게 하나요?

Question

java, spring boot 를 이용한 개발 공부중으로 이번에 spring security 를 이용해서 자체 폼 로그인과 oauth2를 이용한 로그인 둘다 개발을 했습니다. [Spring Security] RememberMe로그인 유지하기 (velog.io)그리고 위의 글을 참고해서 브라우저를 종료하고 다시 접속해도 로그인을 계속 유지 할수 있도록 remember-me 기능도 추가는 했는데 이게 자체 폼 로그인에만 적용되고 oauth2 로그인에는 적용이 되지 않네요. oauth2 로그인에 대해서도 remember_me 기능 적용 하고 싶은데 어떻게 할수 있을까요?

Dierslair · Answer

기억하기 기능은 쿠키를 사용하는 방법, 세션을 사용하는 방법이 있습니다. oauth2 같은 무상태 애플리케이션을 사용하시는 경우에는 접근 토큰의 수명을 늘리거나, 리프레시 토큰의 재발급 기간을 늘리는 방법으로 갈음할 수 있겠습니다.접근 토큰의 유효 시간은 보안 문제로 길게 잡는 것을 추천하지 않습니다(10분 내외). 따라서 리프레시 토큰의 재발급 기간을 길게 잡으시면 될 것 같습니다.

채식주의자호랑이 · Answer

아. 제가 본문글을 잘못 작성한거 같은데 oauth2 로그인 기능이란게 자체적 jwt를 발급해주는 서버가 아니라 구글, 네이버, 카카오 같은 다른 소셜서비스 로그인 하는 웹서비스 기능을 이야기 하는것입니다. 제가 발급한 토큰이 아니고 구글, 네이버, 카카오같은 소셜 로그인 후 토큰 기간을 제가 임의로 설정할수가 있는것인가요?

CyanGlint · Answer

API에 따라 조금씩 차이는 있지만 일반적으로 사용자 로그인(ID/암호 입력) 시 refresh-token을 받고refresh-token으로 access-token을 받아오도록 돼있을겁니다. refresh-token을 보관 해 뒀다가 이용자 재 접속 시refresh-token이 유효하면 로그인 생략하고 바로 access-token을 받아오면 되고유효하지 않으면 자동로그인 만료된거니까 로그인부터 다시 해야 합니다.

k파워킴 · Answer

채식주의자호랑이 님의 질문 고민 사항을 저또한 고민 하고 있습니다.방법의 차이가 있겠지만 어떻게 진행하는것으로 결정지으셨는지 궁금합니다.

spring security 에서 oauth 로그인 유지는 어떻게 하나요?

4개의 답변

#rememberme 목록