🔑 그림으로 이해하는 OAuth ("An Illustrated Guide to OAuth" 요약)

들어가며

OAuth는 2007년 Twitter에서 처음 제안된 표준입니다. 당시 요구사항은 “제3자 앱이 사용자의 비밀번호를 직접 알지 않고, 대신 사용자를 대신해 트윗을 올릴 수 있게 하는 것”이었습니다.

예를 들어, YNAB(가계부 앱)이 Chase 은행 계좌와 연결되어 데이터를 가져오려면, YNAB이 Chase 비밀번호를 알아서는 안 됩니다. 이 문제를 해결하기 위해 OAuth가 탄생했습니다.

---

❌ 나쁜 방식: 비밀번호를 제3자에게 제공

• 사용자가 “트위터 로그인” 창에 아이디와 비번을 입력하면, 사실상 그 정보는 제3자 앱으로 전달됨.
• 위험한 이유:
  • 앱이 비밀번호를 안전하게 저장하지 않으면 유출 위험.
  • 사용자는 어디까지 권한이 쓰이는지 알 수 없음.

---

✅ 좋은 방식: OAuth 토큰

• 핵심 개념: 액세스 토큰(access token)
• 액세스 토큰은 “특정 사용자”를 위한 일회용 API 키와 같음.
• 앱은 이 토큰을 받아 허용된 범위(scope) 내에서만 사용자 데이터를 다룰 수 있음.

---

🌀 OAuth 흐름 (사용자 관점)

1. YNAB에서 Chase 연결 버튼 클릭.
2. YNAB은 Chase로 리다이렉트.
3. Chase 로그인 → YNAB이 어떤 권한을 요청하는지 확인 (예: 특정 계좌 read-only).
4. 동의하면 다시 YNAB으로 리다이렉트.
5. YNAB은 Chase로부터 액세스 토큰을 얻고, 이후 Chase 데이터를 안전하게 접근 가능.

---

🔐 보안 포인트

• 액세스 토큰을 URL에 직접 담아 리다이렉트하는 건 금지!
  → 브라우저 기록이나 서버 로그에 남아 유출될 수 있음.
• 대신 Authorization Code를 발급하고,
  • 클라이언트 앱은 이 코드를 백엔드 POST 요청(HTTPS) 으로 교환.
  • 이때 Client Secret도 함께 전송하여 합법적인 요청인지 검증.
• 최종적으로 액세스 토큰을 안전하게 발급받음.

---

🧩 OAuth 용어 정리

• Resource Owner → 사용자
• Client → OAuth 앱 (예: YNAB)
• Authorization Server → 로그인/권한 동의 담당 서버 (예: Chase 인증 서버)
• Resource Server → 실제 데이터가 있는 서버 (예: Chase API 서버)
• Scope → 권한의 범위 (예: “checking 계좌 조회”)

---

⚙️ 앱 등록 과정

OAuth를 쓰려면 앱을 사전에 등록해야 함.

• 등록 시 필요한 정보:
  • 앱 이름 (사용자에게 보여짐)
  • Redirect URI (권한 동의 후 사용자가 돌아갈 곳)
• 발급되는 값:
  • Client ID: 공개 식별자
  • Client Secret: 비밀 키 (백엔드에서만 사용)

---

🛰️ Front-channel vs Back-channel

• Front-channel: URL 파라미터에 데이터가 노출됨 (GET) → 누구나 볼 수 있음.
• Back-channel: HTTPS POST 요청으로 전달됨 → 안전.
• 따라서 중요한 교환(코드→토큰)은 반드시 Back-channel에서 수행.

---

🔑 PKCE (Proof Key for Code Exchange)

• 모바일 앱이나 백엔드 없는 앱은 Client Secret을 숨길 수 없음.
• 이 경우 PKCE라는 추가 메커니즘을 활용 → 비밀 키 없이도 안전하게 코드 교환 가능.
• 현재는 표준 플로우에서도 PKCE 사용을 권장.

---

🔄 토큰 갱신 & OIDC

• 토큰 만료 → Refresh Token으로 새 액세스 토큰 발급.
• 로그인 기능 → OAuth 위에 OpenID Connect (OIDC) 계층을 얹어 사용자 프로필 데이터도 함께 제공 (“구글 로그인” 같은 기능).

---

✨ 마무리

OAuth는 복잡해 보이지만 핵심은 간단합니다:

• 비밀번호는 제3자에게 주지 않는다.
• 대신 제3자에게는 액세스 토큰을 발급한다.
• 사용자는 언제나 어떤 권한을 주는지 동의한다.

👉 이 세 가지 원칙을 기억하면 OAuth의 다양한 플로우와 용어도 이해하기 쉬워집니다.

원문 - https://www.ducktyped.org/p/an-illustrated-guide-to-oauth