OAuth

애플리케이션이 리소스 소유자에게 리소스에 대한 접근 권한을 허용하고, 요청 결과로 전달받은 토큰을 이용해 애플리케이션이 해당 리소스에 접근하는 프로토콜

역사[edit | edit source]

종류(Type)	설명
인가 코드 승인 (Authorization Code Grant)	클라이언트가 다른 사용자 대신 특정 리소스에 접근을 요청할 때 사용 리스소 접근을 위해, 인가 서버에서 받은 권한 코드로 리소스에 대한 엑세스 토큰을 받는 방식
암묵적 승인 (Implicit Grant)	권한 부여 코드 승인 타입과 다르게 권한 코드 교환 단계가 없음 엑세스 토큰을 즉시 반환받아 이를 인증에 이용하는 방식
리소스 소유자 암호 자격 승인 (Resource Owner Password Credentials Grant)	클라이언트가 암호를 사용하여 엑세스 토큰에 대한 사용자의 자격 증명을 교환하는 방식
클라이언트 자격 승인 (Client Credentials Grant)	클라이언트가 컨텍스트 외부에서 액세스 토큰을 얻어 특정 리소스에 접근을 요청할 때 사용하는 방식

구분	설명	비고
자원 소유자	요청하고자 하는 자원의 소유자이자, 인증 주체	이용자
클라이언트	자원을 필요로 하는 서비스 자원 소유자의 권한으로 권한 서버에서 인증을 받아 자원 서버에 자원 요청	쇼핑몰 등
권한 서버	인증을 처리하고 권한을 부여하는 서버	페이스북 네이버 구글 등
자원 서버	자원을 가지고 있는 서버	페이스북 네이버 구글 등
접근 토큰	자원 서버에 자원을 요청할 수 있는 토큰	유효기간 존재
재발급 토큰	권한 서버에 접근 토큰을 요청할 수 있는 토큰	접근 토큰 유효기간 만료 시 사용

비교	OAuth1.0	OAuth2.0
참여자 구분	이용자 소비자 서비스 제공자	자원 소유자 클라이언트 권한 서버 자원 서버
토큰	요청 토큰(Request Token) 접근 토큰(Access Token)	접근 토큰(Access Token) 재발급 토큰(Refresh Token)
유효기간	접근 토큰의 유효기간 없음	접근 토큰 유효기간 부여 만료 시 재발급 토큰 이용
클라이언트	웹 서비스	웹, 앱 등

OAuth를 제공하는 대형 플랫폼 서비스(신뢰된 서비스, 권한 서버, 자원 서버)에 개인의 행태 정보가 지나치게 축적되는 문제
- 국가 기관이 아닌 신뢰된 서비스가 과연 신뢰할 수 있는가?