OAuth 는 무엇일까? OAuth 2.0 소셜로그인

Web

핏짜보이 2022. 4. 19. 10:35

(해당 포스팅은 OAuth에 대한 상세 구현보다는 큰 흐름을 파악하기 쉽도록 작성하였습니다.)

<목차>

1. OAuth를 왜 사용할까?

2. OAuth 2.0의 구성요소

3. Access Token

4. 어떻게 Access Token을 받을까?

5. Access Token 넘겨받기

6. Redirect

7. 사용자의 정보 받기

8. 마무리 요약

다양한 웹/ 앱서비스를 사용하다보면 아래와 같이 다른 계정으로 로그인과 회원가입을 사용할 수 있다.

그렇다면 이를 구현하기 위해서 어떤 점이 필요한지 기술적인 부분을 생각해보자.

우리의 서비스를 사용하려는 고객이 구글의 회원임을 어떻게 알 수 있을까?

간단한 방법은 고객에게 구글의 아이디/비밀번호를 받아서 구글에 로그인을 하면 된다.

하지만, 이 방법은 말도 안되는 방법이다. 이를 위해서 OAuth라는 개념이 생겼다.

OAuth는 인터넷 사용자들이 1)비밀번호를 제공하지 않고, 2)다른 웹사이트 상의, 3)자신들의 정보에 대해, 웹사이트나 애플리케이션의 4)접근 권한을 부여할 수 있는 공통적인 수단으로서 사용되는, 접근 위임을 위한 개방형 표준이다.

- 출처 : 위키백과

다시 말해서 OAuth는 다른 서비스의 회원정보를 안전하게 사용하기 위한 방법이라고 생각하면 된다.

여기서 말하는 '안전하게' 의 주체는 회원 정보의 소유자, 우리의 고객이다.

즉, 우리 서비스의 고객이 안전하게 다른 서비스의 정보를 우리 서비스에게 건네주기 위한 방법이다.

(참고로 OAuth 2.0은 1.0에서 알려진 보안 문제등을 개선한 버전이다.)

구분	설명
Client	자사 또는 개인이 만든 서버, 서비스
Resource Owner	웹서비스를 이용하려는 유저. 자원(개인정보)를 소유하는 자. 나의 서비스를 사용하는 사용자
Resource Server	사용자의 개인정보를 가지고 있는 회사(구글, 트위터 등)의 서버
Authorization Server	권한을 부여(인증에 사용할 아이템 제공)하는 서버 Client는 Token을 이 서버로 넘겨서 사용자의 개인정보를 응답받을 수 있음
Access Token	자원에 대한 접근 권한을 Resource Owner가 인가하였음을 나타내는 자격증명
Refresh Token	Client는 Authorization Server로 부터 Access Token(비교적 짧은 만료기간을 가짐)과 Refresh Token(비교적 긴 만료기간을 가짐)을 함께 부여받음 Access Token은 보안상 만료기간이 짧기 때문에 얼마 지나지 않아 만료되면 사용자는 다시 로그인을 시도해야함 그런데 Refresh Token이 있으면 Access Token이 만료될때, Refresh Token을 통해서 Access Token을 재발급 받아서 다시 로그인할 필요가 없게 됨