iOS [Swift] - OAuth 개념 스터디

📄

목차

개념

Authentication(인증) / Authorization(허가)

OAuth Actor

OAuth [Client - Server]

용어 정리

개념

• Third Party Application의 인증 권한 부여 및 관리를 위해 사용하는 것이다.

• 외부 사이트에 저장된 자신의 정보에 대해 접근 권한을 부여할 수 있는 공통 수단으로 사용된다. 개방형 표준

• OAuth 기반 서버에서 인증이 필요한 API를 호출할 때는 OAuth 토큰을 반드시 이용한다.

• 외부 SNS 계정을 기반으로 간편 회원가입 & 로그인을 할 수 있게 해주는 역할을 한다.

• 뿐만 아니라, 외부 App에서 제공하는 기능들을 사용할 수 있다. [기타 Api]
  • Google 로그인 → API 통신 → 사용자 Google Calendar 정보 열람

• 장점 : 사용자가 다른 애플리케이션에서 사용하고 있는 서비스의 정보를 가공하여 보다 가치 있는 결과물을 제공할 수 있다.

Authentication(인증) / Authorization(허가)

• 일반 로그인 : 아이디 & 비밀번호를 통해 인증을 하는 것

• OAuth 로그인 : 타 App의 정보에 접근하기 위해 우리의 App이 허락받아 사용자 인증을 하는 것

OAuth Actor

• Resource Server : Client가 제어할 자원(resource)을 보유한 서버
  • Twitter, Google, Facebook 등 사용자의 Api를 제공하는 타 App

• Resource Owner : 자원(resource) 소유자
  • 로그인을 행하는 실제 사용자

• Client : Resource Server에 접속해서 정보를 가져오는 대상 (Web Application)
  • 다시 말해, 사용자가 사용하고자 하는 우리가 만든 서비스

OAuth [Client - Server]

• 요약 : Client에서 Server의 Token을 받고, 그 Token을 가지고 다시 Server에 요청해서 원하는 자원을 획득할 수 있다.

• Token의 종류
  • Access Token : 요청 절차를 정상적으로 종료한 Client에게 발급 (시간 제한 있음)
  • Refresh Token : "Resource Server"가 아니라 "Authorization Server"에서만 사용 가능 (시간 제한 없음)
  • Token은 Apple의 Keychain 저장소에 저장한다. 자세한 내용은 여기

• Flow

  1. MyApp(Client)이 Facebook(Resource Server)에 API를 사용하겠다고 등록 요청합니다.

  2. Facebook(Resource Server)은 MyApp(Client)를 식별할 수 있는 Client ID & Secret을 발급해줍니다.

  3. 사용자(Resource Owner)는 MyApp(Client)에서 Facebook 로그인을 요청합니다.

  4. MyApp(Client)은 사용자(Resource Owner)에게 Facebook(Resource Server) 로그인 화면을 띄워줍니다.

  5. 사용자(Resource Owner)는 MyApp(Client)이 Facebook(Resource Server) 자신의 정보에 접근해도 괜찮은지에 대한 동의를 받습니다. ("MyApp에서 당신의 Facebook 정보를 사용해도 괜찮겠습니까?")
     1. 사용자가 MyApp에게 Facebook 권한을 허용했을 때
        1. Facebook(Resource Server)은 MyApp(Client)에게 암호화 코드를 제공합니다.
        2. MyApp(Client)은 2번에서 발급 받은 Client ID & Secret을 암호화 코드와 함께 Facebook(Resource Server)으로 다시 보냅니다.
        3. Facebook(Resource Server)은 암호화 코드, Client ID & Secret이 모두 자신이 제공한 것과 일치한다고 판단했을 때, 최종 접근 권한 부여의 의미로 Access Token을 발급해줍니다.
     2. 사용자가 MyApp에게 Facebook 권한을 거부했을 때
        1. Facebook 로그인 정보에 대한 접근이 없기 때문에 로그인이 불가합니다.

용어 정리

💥 Web Application

• 웹 브라우저와 웹 기술을 사용하여 사용자와 소통할 수 있도록 만든 컴퓨터 프로그램

💥 Web Container

• 동적인 처리를 담당한다. Servlet Container라고도 하며 JSP, Servlet을 실행할 수 있는 프로그램이다. JSP, Servlet은 웹 서버로부터 받은 동적인 데이터를 처리하여 정적인 페이지를 생성한다. 하지만, Web Container는 웹 서버로부터 받은 정보로 동적 페이지를 생성하여 웹 서버에게 전달해줄 수 있다.

💥 Web Application Server (WAS)

• Web Server + Web Container, 정적인 페이지(HTML)에서 처리할 수 없는 Business Logic, DB 조회 등 동적인 컨텐츠를 제공한다.톰캣

💥 [웹 서버는 정적 처리, WAS는 동적 처리]를 같이 사용하면, 서버 부하를 막으면서 물리적인 분리를 통해 보안을 강화할 수 있다.

Uploaded by N2T