Auth 2.0과 소셜 로그인, 어떻게 동작할까?

"카카오로 로그인, 구글로 로그인... 내 서비스에 어떻게 구현하죠?"
비밀번호를 직접 받지 않고도 안전하게 권한을 위임받는 표준 프로토콜, OAuth 2.0의 흐름을 정리합니다.

1. OAuth 2.0의 주요 등장인물

• Resource Owner: 일반 사용자 (데이터의 주인)
• Client: 우리가 만드는 서비스
• Authorization Server: 권한을 부여해주는 서버 (카카오, 구글 등)
• Resource Server: 실제 데이터가 있는 서버 (사용자 프로필 등)

2. 전체적인 실행 흐름 (Authorization Code Grant)

1. 사용자가 소셜 로그인 버튼 클릭
2. Authorization Code 발급 (Redirect)
3. Client가 Code를 들고 Server에 Access Token 요청
4. 발급받은 Token으로 Resource Server의 데이터 접근

💡 실무 노트

OAuth는 '인증(Authentication)'보다는 '권한 부여(Authorization)'에 가깝습니다. 하지만 소셜 로그인은 이를 활용해 사용자가 누구인지 식별(인증)하는 용도로도 씁니다.

팁: 실무에서 OAuth를 구현할 때는 state 파라미터를 꼭 활용하세요. 요청과 응답 시 이 값을 대조하면 CSRF(사이트 간 요청 위조) 공격으로부터 사용자를 안전하게 보호할 수 있습니다.