[ 개발 원리 ] OAuth 2.0

회사에서 페이스북 계정으로 로그인하는 기능을 제공하고 페이스북 프로필 이미지를 가지고와서 사용하자는 이야기가 나왔다고 하자.
요즘 대부분 서비스에 SNS 로그인을 제공하기도 하고, 유저는 번거로운 가입 없이 서비스를 바로 이용할 수 있다.

https://www.sslcert.co.kr/faq/view/68

---

📌 OAuth

OAuth	Open Authorization의 약자.
	외부 서비스 ( 3rd Party Application ) 의 인증 및 권한 부여를 관리하는 범용 프레임 워크.
	Facebook, Google, Twitter 등에서 다양한 플랫폼에서 널리 사용.

ex ) 상황 예시 1

페이스북 ( Authorization Server )에 "당신의 회원 중 한 명이 우리 서비스를 이용하는데, 그 유저의 프로필 이미지가 받고 싶어"

- 특정 유저의 모든 정보가 아닌 프로필 이미지로 한정.

 

페이스북에 허락을 받아야 한다. 허락하기 전에 이미 우리 서비스 ( Resource Owner )는 페이스북에 Client ID, Client Secret, Authorized redirect URIs 가 등록되어 있어야 한다.

 

ex ) 상황 예시 2

유저한테도 "지금 당신의 프로필 이미지를 페이스북에 전달받아도 돼?"

- 프로필 이미지로 한정.

 

이후에 우리 서비스 ( Resource Owner )는 페이스북에게 "유저가 동의했어" 전달한다.

 

그러면 페이스북 ( Authorization Server )는 Authorization Code를 우리 서비스 ( Resource Owner )에게 전달한다.

그리고 우리 서비스 ( Resource Owner )는 다시 유저 ( Client )에게 Authorization Code를 전달한다.

유저 ( Client )는 받자마자 페이스북으로 Client Secret + Authorization Code 등을 전송한다.

 

ex) 상황 예시 3

페이스북 ( Authorization Server )는 유저( Client )가 일치하는지 확인하고, 해당 유저의 페이스북 프로필 이미지를 이용할 수 있는 Access Token을 전달한다.

Access Token	해당 유저의 특정 기능을 사용할 수 있는 식별자. 짧은 유효 기간을 가지고 있다. ( 페이스북의 아이디, 비번을 전달하는 것과 같아서, 노출되면 안된다. )
Refresh Token	Access Token과 같이 전달된다. Access Token의 유효시간이 만료되면 Refresh Token을 토큰으로 Access Token을 다시 전달받는 형태.

 

ex) 상황 예시 4

이제 페이스북의 허락과 유저에게 동의도 받았다.

페이스북( Resource Server )에게 Access Token을 포함해서 페이스북 API로 프로필 이미지를 받아오면 된다.

- 이때 관여되는 페이스북의 서버 -
Authorization Server	Access Token을 전달받는 과정을 담당하는 서버.
Resource Server	Access Token을 전달받고, 특정 기능을 사용할 때.

---

- OAuth 2.0 설명

https://reinvite.tistory.com/

알아두면 좋은 개발용어 7 (OAuth 2.0)

https://opentutorials.org/

WEB2 - OAuth 2.0 - 생활코딩