Spring Boot 를 이용해 JWT + Social 로그인 처리 질문 있습니다.

안녕하세요. 우선 좋은 강의 제공 해주셔서 감사드립니다 :)

이번에 회사에서 신규 프로젝트로

1. Client Server (Vue, React, Android, IOS)

2. Back Server (Spring Boot)

해당 언어로 구성하기로 결정 되었습니다.

신규 프로젝트에 있어서 가장 중요한 부분이 인증 및 인가 시스템인데요.

여기서 우리는 JWT + Spring Security 를 사용하기로 결정되었고

특히 Social Login 경우 Grant Type 을 "Authorization Code Grant Type" 을 이용하기로 했습니다.

아무래도 Authorization Code Grant Type 이 가장 안전하기 때문 입니다.

앞써 말씀드렸지만 Client Server 를 vue, react, Android, ois 를 이용 계획이고

Authorization Code Grant Type 을 동시에 이용하면서 인증 처리 할 예정인데요.

인증이 성공적으로 완료된다면 자체적으로 JWT 토큰을 생성해서 Access Token 을 만들고 Client 서버 에게 반환 해서 반환 받은 Client 서버들을 Resouce Server 에서 자원을 요청 하는 시스템입니다.

우선 이미지를 보면서 시나리오를 설명 드리도록 하겠습니다.

• 일반 로그인

1. A 사용자가 아이디 하고 패스워드를 입력 후 Authorization Server(Spring Boot) 로 전송한다.

    

2. 인증 처리가 완료 되면 A 사용자 그러니깐 Client 서버에게 자체적으로 JWT Token 을 만들어서 Access Token을 전송한다.

    

3. Client Server 는 자체적으로 만든 JWT Token (Access Token) 을 쿠키에 저장 하고 Resource Server 에 요청 한다.

• Social 로그인

1. Client 서버 접속한 사용자는 KaKao 소셜 로그인 버튼을 클릭한다. (요청 파라미터는 카카오로 부터 제공 받은 client_id, redirect_uri + response_type 을 'code' 로 지정한다.)

    

2. KaKao Authorization Server 는 요청 받은 파라미터로 Client 식별하고 사용자에게 kakao 로그인 페이지를 보여드린다. 생략 되었지만 인가 처리되었다면 임시 코드값을 지정한 redirect uri 통해 client server 로 전송한다.

    

3. 임시 코드를 받은 Client Server 는 자체적으로 구축한 Authorization Server(Spring Boot) 로 전송한다.

    

4. 임시 코드를 전송 받은 데이터와 client_id, client_secret, response_type 함께 KaKao Authorization Server 로 요청한다 (Access Token 받기 위해)

    

5. 인증이 완료되면 KaKao Authorization Server 는 Authorization Server(Spring Boot) 로 인가처리가 완료되었음을 의미하는 Access Token 만들어 전송한다.

    

6. Access Token 을 발급 받은 Authorization Server(Spring Boot) 서버는 해당 Access Token 을 이용해서 인증 처리하기 위해 KaKao Authorization Server 로 요청한다.

    

7. 인증 처리 완료되었다면 해당 접속자의 유저 정보를 전송 한다.

    

8. 해당 유저 정보를 이용해서 회원 가입 프로세스 처리 동시에 자체적으로 JWT Token (Resource Server 접근 하기 위한) 을 생성해서 Client Server에 반환 한다.

    

9. Client Server 는 자체적으로 만든 JWT Token (Access Token) 을 쿠키에 저장 하고 Resource Server 에 요청 한다.

선생님 강의에서는 Client Server 경우 Spring Boot Security 을 이용했던거와 달리

클라이언트 서버 경우 Vue, React, Android, IOS 사용 할려고 합니다.

그리고 Grant Type 을 "Authorization Code Grant Type" 사용 하기 때문에 일반 로그인 경우는 문제가 없는데

Social 로그인 경우 프로세스를 어떻게 하면 잘 구성 될지 제 나름대로 고민을 해보았습니다.

Implicit Grant Type 경우를 사용하면 쉽게 처리 할 수 있을것 같은데

Grant Type 을 "Authorization Code Grant Type" 사용 할려다 보니 많이 복잡해지고 이렇게 작동이 될지 의문도 들고 이런 저런 생각이 드네요.

또한 Client Server 경우 절대로 client_secret 을 노출 해서는 안되다는 점 제한으로 이러저런 구성하는데 힘이 좀 들었습니다

한번 선생님에게 제가 구상한 프로세스를 피드백 받고 싶어 이렇게 질문 드립니다.

항상 소중한 강의 제공해주셔서 감사드리고 답변 부탁드립니다.

감사합니다 :)