🔐 OAuth 2.0에서 Authorization Code와 PKCE

🚩 Authorization Code이란?

🔸 Authorization Code – 토큰이 아니라, 토큰을 얻기 위한 임시 코드임

---

✅ OAuth 2.0 & OIDC 로그인 흐름

이 흐름은 OAuth 2.0의 표준 흐름으로,
구글, 네이버, 카카오, 애플 등 대부분의 OAuth 인증 제공자(IdP)에서 유사하게 사용됨

🔹 구글, 애플 – OAuth 2.0 + OpenID Connect (OIDC)를 사용
🔹 네이버, 카카오, 페이스북 – 대부분 OAuth 2.0만 사용 (ID Token 반환 X 또는 선택)

---

🚩 OAuth 2.0 표준 로그인 흐름 (Access Token 중심)

모든 OAuth 2.0 인증 제공자(IdP)에 적용 가능

1. 사용자가 클라이언트(웹/앱)에서 로그인 버튼 클릭
2. 클라이언트는 사용자를 OAuth 서버(네이버, 카카오, 페이스북 등)로 리디렉트
3. 사용자가 로그인 → Authorization Code 반환
4. 클라이언트는 Authorization Code를 서버로 전송
5. 서버는 Authorization Code로 Access Token 요청(Client Secret같이 보냄)
6. OAuth 서버가 Access Token 반환
7. 서버는 Access Token을 사용해 사용자 정보 API 호출

---

🚩 구글/애플 로그인 흐름 (OIDC 기반)

구글, 애플 등 OpenID Connect(OIDC)를 지원하는 서비스에 해당됨

1. 사용자가 클라이언트(웹/앱)에서 구글 로그인 버튼 클릭
2. 클라이언트는 사용자를 구글 OIDC 서버로 리디렉트
3. 사용자가 구글에 로그인 → Authorization Code 반환
4. 클라이언트는 Authorization Code를 서버로 전송
5. 서버는 Authorization Code로 Access Token + ID Token 요청
6. 구글이 서버에 Access Token + ID Token(JWT) 반환
7. 서버는 ID Token을 디코딩해 사용자 정보를 추출하고,
   자체적으로 JWT를 생성하거나 세션 관리

---

🚩 PKCE(Proof Key for Code Exchange)란?

PKCE는 클라이언트 시크릿을 저장할 수 없는 환경에서 사용되는 보안 강화 방식임

📌 PKCE가 필요한 이유

• SPA (React, Vue 등)
• 모바일 앱
• 데스크톱 앱

👉 공개 클라이언트(Public Client)에서는 Client Secret을 안전하게 보관할 수 없음
👉 Authorization Code 탈취 위험이 있기 때문에 PKCE가 필요함

---

✅ PKCE 인증 흐름

1. 클라이언트는 Authorization 요청 전에 code_challenge 생성
2. 사용자가 로그인 → Authorization Code 반환
3. 클라이언트는 Authorization Code와 함께 code_verifier 전송
4. 구글은 code_verifier 검증 후 Access Token + ID Token 발급

🚩 흐름 비교

PKCE 없는 경우	PKCE 있는 경우
Authorization Code 탈취 가능	code_verifier로 탈취 방지
토큰 교환 시 클라이언트 시크릿 필요	클라이언트 시크릿 없이도 안전하게 교환

---

✅ PKCE 없는 경우 위험성

🔸 Authorization Code가 공격자에게 탈취될 경우
🔸 공격자가 악성 클라이언트에서 Access Token 교환 가능

---

✅ 서버사이드 웹 애플리케이션은 PKCE 필요 없음

🔹 서버사이드 웹 앱(Spring Boot 등)은 Client Secret을 안전하게 저장할 수 있음
🔹 클라이언트(브라우저)에서 Authorization Code만 받아 서버에서 직접 토큰 교환
🔹 토큰 요청 시 Client Secret 사용 → 브라우저에는 노출되지 않음

---

✅ 클라이언트 시크릿(Client Secret)이란?

🔸 OAuth 2.0에서 서버와 인증 제공자 간 신뢰를 증명하는 비밀번호와 같은 역할
🔸 Access Token 요청 시 사용
🔸 서버에서만 안전하게 보관 → 클라이언트(브라우저)에는 절대 노출되지 않음

---

📌 클라이언트 시크릿의 역할

1. 사용자가 로그인 → Authorization Code 발급
2. 서버가 Authorization Code + Client Secret으로 토큰 요청
3. 구글이 Client Secret 검증 후 Access Token 발급
4. Authorization Code 탈취되더라도 Client Secret 없으면 토큰 발급 불가

---

🚩 PKCE가 꼭 필요한 환경

• SPA (Single Page Application) – React, Vue, Angular
• 모바일 앱 – iOS, Android
• 데스크톱 앱 – Electron, PWA

👉 Client Secret을 안전하게 저장할 수 없는 환경에서는 PKCE가 필수임

---

즉,

• SPA, 모바일, 데스크톱 앱 – PKCE 필수!
• 서버사이드 웹 애플리케이션(Spring Boot 등) – PKCE 불필요 (Client Secret이 서버에 안전하게 저장됨)