OAuth

January 12, 2023

사용자가 비밀번호를 입력하지 않고 어떤 웹 사이트 / 애플리케이션에게 다른 웹사이트의 정보 접근 권한을 부여하는 표준
- ex) 프로그래머스는 github로 로그인을 통해 사용자의 정보를 github로부터 가져 옴
접근 권한을 위임하는 행위
1.0a 버전과 2.0 버전 존재

OAuth 1.0a

1.0a

2.0으로 변경되며 용어 체계가 달라짐

Resource Owner: 실제 사용자
Client: Resource server에서 정보를 가져오려고 하는 웹 사이트/애플리케이션
Resource Server (API 서버): 사용자의 자원(이름, 프로필 등)을 호스팅하는 서버
Authorization server (인증 서버): 사용자 동의를 받아 client에 권한을 부여하는 서버. Resource server과 같이 구성되기도 함

편의상 client는 서비스, resource owner는 사용자, authroization server는 auth server라고 지칭.

서비스가 auth server에 자신의 서비스를 등록함
서비스는 client ID, client secret, redirect uri를 받음
사용자가 서비스에서 소셜 로그인 버튼을 클릭함
서비스는 auth server에 redirect URI, client ID 등과 함께 요청을 보냄
Auth server는 사용자에게 로그인 페이지를 제공하고, 로그인 수행
Auth server는 4번에서 요청한 서비스가 올바른지 검증
검증이 완료되면 Auth server가 사용자에게 authorization code를 redirect uri에 담아서 전달
사용자는 redirect uri로 redirect되고, 이 과정에서 서비스는 authorization code를 얻음
서비스는 authorization code, client ID, client secret등으로 auth server에 access token 요청
Auth server는 access token, refresh token을 client에게 발급
사용자는 로그인된 화면으로 이동됨
이후 서비스는 사용자 정보가 필요할 때마다 access token으로 resource server의 api 호출
Access token은 만료 되면 refresh token을 이용해 재발급 받음