OAuth와 OIDC의 차이와 회원가입 연동에 관해 질문드려요.

Question

OAuth와 OIDC를 공부중인데 명확하게 이해 못한 부분이 많아 질문드려요.'OAuth는 인가, OIDC는 인증을 위한 것이고 그래서 OIDC는 자원 접근 인가 정보인 access token외에 id key라는 것을 별도로 제공한다.' 고 이해했고 'OAuth만으로 회원가입 및 식별까지하는 경우가 있으나 잘못된 것이다.'라고 하는데 명확히 이해하지 못 했어요. OAuth만으로 식별까지 했다는 것은 OAuth를 통해 얻을 수 있는 자원 중 식별자로 사용가능한 자원, 이를테면 메일 주소 등을 이용해서 식별에 사용하기도 한다는 것인가요? 그리고 소셜 로그인만 하고 별도의 정보 입력없이 회원가입 가능한 웹사이트들이 있잖아요. 그런 곳은 OIDC를 통해 받은 id key를 회원 식별자로 동일하게 사용하는 것일까요? 구글 로그인을 사용하는 client 사이트가 있을 때, 제가 구글 로그인해둔 상태에서 방문하면 client 사이트도 로그인이 되어 있던데 구글 로그인시 저를 식별할 수 있는 id key가 쿠키에 있나요? 만일 그렇다면 구글에서 심은 쿠키를 client 사이트에서 읽어서 사용하는 것인지 궁금합니다. 소셜 로그인시 아래 빨간색 표시한 response의 쿠키에 session id를 실어 보내면 될 것 같은데 보통의 경우 그러할지 알고 싶습니다.(출처: https://hudi.blog/oauth-2.0/)

dongwoo00 · Answer

OIDC는 OAuth의 개량형입니다.그러므로 OAuth만 쓴다고 잘못된것이다라는 건 윈도11이 나온 마당에 윈도10을 쓰고있으니 잘못된것이다라고 말하는것 정도로 이상하게 들리네요

sa · Answer

1) OAuth의 경우, 그림 11, 12 과정을 통해 리소스 서버로 부터 사용자 정보를 가져오지만 (추가적인 요청) OIDC를 사용하면 해당 토큰 안에 사용자 정보가 담겨있어서 해당 과정이 필요하지 않습니다. 2) OIDC, JWT, 쿠키, 세션과는 상관없이 로직을 어떻게 구현하느냐에 따라 달라질 것 같습니다. 3) 쿠키를 사용하기 때문에 가능합니다. 4) session방식을 사용하는 경우, 헤더에 X-SESSION-ID와 같이 사용합니다.

OAuth와 OIDC의 차이와 회원가입 연동에 관해 질문드려요.

2개의 답변

Q&A 목록