oauth 인증 서버 로그인시 궁금한 점이 있습니다.

Question

안녕하세요.예를 들어client 사이트에서 구글 로그인을 클릭하여 페이지를 요청할 때 query string으로 redirect uri와 client id 등을 전달잖아요.redirect uri와 client id를 확인하여 로그인 페이지를 제공하면사용자는 id, pw등의 인증 정보를 제공하고 구글은 인증이 완료되면 authorization code를 query string에 담아 (client의) redirect uri로302 리다이렉트 응답을 보내게 됩니다.여기까진 알겠는데요.여기서 구글이 redirect uri을 어떻게 알고 있는지 궁금합니다.1에서 최초 로그인 페이지 요청 받았을 때 사용자의 session에 redirect uri를 저장해두는지,2에서 id, pw를 받을 때 다시 한번 redirect uri와 client id를 전달 받는지둘 중 하나일 것 같은데(아님 다른 방법도 있을까요?)2의 방식으로 할 것 같아서 확인하려 했는데 결국 못 했습니다. (1로 하면 삭제해주는 과정이 필요하고 사용자가 로그인 페이지만 받은 상태에서 로그인 안 하면 언제 삭제해야할지 알 수 없으니 심증적으로 2일 것이라 생각했습니다.)크롬 개발자모드의 network 정보로 확인하려니 사용자의 로그인 요청 이후 302로 인한 페이지 새로고침이 일어나 post 요청시의 데이터를 확인할 수가 없었고,wireshark로 확인하려 했더니 protocol 유형이 QUIC로 되어 있어서 확인할 수가 없었네요.확인하려한 두 가지 방법 모두 가능한 것인데 제가 어설퍼서 못한 것인지도 궁금합니다.

하루의_spring · Answer

oauth 인가서버를 설정해보셨으면 아시겠지만 각 어플리케이션마다 redirect_uri 를 설정하는 부분이 있습니다 google 은 해당 어플리케이션으로 oauth 요청이 오면 임시토큰및 access_token 이 발급되면 이미 인가서버에 등록된 해당 어플리케이션의 redirect_uri 를 찾아서 같이 보냅니다 그게 아니라도 승인코드에 redirect_uri 를 보내면 인가서버가 알아서 파라미터의 redirect_uri 를 캐치해서 저장했다가 각 토큰 발급시 보내주는것도 있습니다 저도 구글 oauth2를 연동하지 않아서 모르겠지만 거진 대부분 미리 어플리케이션을 등록하고 등록된 인가서버와 매핑된 redirect_uri 가 존재합니다 (등록이라기 보다는 cilent_id , client_secret 와 매핑되는 redirect_uri 가 대부분 등록이 되어 있습니다 )궁금하시면 github oauth2 연동이나 , keycloak oauth2 연동에 대해서 공부해보시면 될꺼 같습니다

oauth 인증 서버 로그인시 궁금한 점이 있습니다.

1개의 답변

#oidc 목록