저희 회사에서 안드로이드 앱을 만들고 있는데 페이스북이랑 구글+를 통해 가입하고 로그인할 수 있는 기능을 붙일 예정입니다.
편의상 서비스 프로바이더는 구글이라고 칭하겠습니다.
구글에서 OAuth2.0 프로토콜을 어떻게 만들어놨는지 보고 있는데요.
대충 간략화 시킨 프로세스를 보면
1. 유저가 앱을 실행해서 구글을 통해 가입을 선택하면 구글 페이지로 리다이렉션 되고 거기서 권한을 얻어내죠.
동의를 하거나 거부하거나. 동의하면 client_id, scope, redirection_url을 구글에 날려서
2. authorization_code를 받아냅니다. 이 정보는 유저가 구글에 등록된 이 App 실행을 허가하겠다는 정보가 담겨있죠. 이 코드는 변경되는게 아닌걸로 알고 있습니다. 앱ID, 유저ID는 고정이니까요.
3. 그럼 앱은 이 authorization_code와 client_id등을 날려서
4. access_token을 받아옵니다. 그 외에 refresh_token과 id_token도 받아오구요. id_token을 디코딩 하면 email정보와 이미지url등이 나옵니다.
5. access_token은 만료 기한이 있습니다. 같이 받아온 expires_in에 보면 만료 기한이 있고 그 만료 기한이 다 되면 refresh_token을 통해 다시 access_token을 받아 와야 합니다.
여기까지가 제가 아는 OAuth2.0을 통한 유저의 서비스 등록 절차입니다.
여기서,
만약 이 유저가 앱에서 로그아웃을 했습니다.
제 생각은 로그아웃을 하더라도 access_token이든 refresh_token이든 authorization_code든 간에 저희 앱의 데이터 서버에 보관을 하고 있어야 된다고 생각했거든요. 그럼 그 token을 가지고 나중에 이 유저가 로그인 버튼만 누르면 token을 구글 서버로 날려서 refresh_token을 다시 받아올 수 있다면 이 유저는 인증이 된 거니까 해당 토큰에서 받아온 id_token을 분석해서 어떤 email정보를 가진 유저인지 알아내고 자연스럽게 로그인 과정을 뛰어넘을 수 있게 해준다는 생각입니다.
그런데 회사 사장님은 로그 아웃을 하는 순간 code나 token이나 모두 날려버려야 된다고 생각합니다. 그리고 가입된 유저가 재로그인을 하면 authorization_code를 받아오는 처음 과정부터 다 다시해야된다고 말하는데요. 애초에 이 유저는 앱에 대해 구글에 등록을 해 놓은 상태고 authorization_code를 다시 받아올 필요가 없는거 아닌가 싶은데말입니다.
어찌됐든 제 생각대로라면 authorization_code, access_token과 refresh_token을 보유한 저희 서비스의 DB서버 테이블에 코드를 보관해야 하겠구요.
사장님 생각대로라면 아예 테이블조차 존재할 필요가 없겠죠.
제대로 설명한건지 모르겠는데 제가 뭘 놓친건지, 틀렸다면 뭐가 틀린건지 일반적으로 상용서비스에서 인증과정은 어떤식으로 만드는지 경험해보신 분이나 아시는 분 있으시면 좀 알기 쉽게 설명 부탁드립니다. 솔직히 블로그나 이런저런 정보들 찾아봐도 예제에 대한 이야기만 있고 실제로는 어떻게 운용하는지 제대로 나온걸 못찾겠더라구요... 뭐라고 찾아야되는지도 잘 모르겠고.
여튼 긴 글 읽어주셔서 감사하고 답변 좀 부탁드립니다.
잡담 | 1766명이 읽었어요. 18.191.180.124
