로그인 구현 방식(JWT , Session , OAuth 2.0)

도입

세션

JWT

개요

JWT는 사용자 정보를 JSON 객체에 담아 이를 암호화하고 해싱 작업을 거쳐 문자열 토큰을 생성

구조 (참고)

• 헤더 : 토큰 타입(JWT ) , 해시 알고리즘 ( 데이터 자체가 함수를 통해 키로 변경시키는 자료구조)
• JWT를 검증하는데 필요한 정보를 가짐
 
 

• 내용 : 토큰 정보와 사용자 정보 등등 → 클레임 셋이라고도 함

• 서명 : 보안성을 높이기 위해 사용
헤더와 내용을 합쳐서 문자열을 만들고 이것을 검증함

JWT를 소개합니다. : NHN Cloud Meetup

JWT는 일반적으로 클라이언트와 서버, 서비스와 서비스 사이 통신 시 권한 인가(Authorization)를 위해 사용하는 토큰이다.

https://meetup.toast.com/posts/239

NodeJS - JWT Token 사용하기

JSON Web Token의 약자로, 각 객체 사이에서 속성 정보 (Claim)을 JSON 데이터 구조로 표현하고 암호화를 통해 정보를 전달하는 Token의 대표! 가볍고 자가 수용적 (self-contained) HTTP header / URI 파라미터를 이용해 전달 가능 다양한 프로그래밍 언어에서 지원!

https://velog.io/@neity16/NodeJS-JWT-Token-%EC%82%AC%EC%9A%A9%ED%95%98%EA%B8%B0

[Node.js] JWT 기반으로 사용자 인증 구현하기 ( jsonwebtoken 모듈 )

2019. 06. 22 수정 1. JWT ( Json Web Token ) 많은 웹 서비스들은 사용자 인증을 구현하기 위해서 쿠키와 세션을 이용해왔습니다. 그런데 쿠키와 세션에는 여러 문제들이 있어서, 최근에는 OAuth와 JWT 같은 토큰 기반의 인증 방식이 주로 사용되고 있습니다. OAuth는 쉽게 말해서 "페이스북으로 로그인하기", "구글로 로그인하기"와 같이 다른 애플리케이션으로 사용자 인증을 인가 하는 것입니다.

https://victorydntmd.tistory.com/116

jsonwebtoken

Build Dependency An implementation of JSON Web Tokens. This was developed against draft-ietf-oauth-json-web-token-08. It makes use of node-jws (Asynchronous) If a callback is supplied, the callback is called with the err or the JWT. (Synchronous) Returns the JsonWebToken as string payload could be an object literal, buffer or string representing valid JSON.

https://www.npmjs.com/package/jsonwebtoken

var token = jwt.sign({ foo: 'bar' }, 'shhhhh');
var token = jwt.sign({ foo: 'bar' }, privateKey, { algorithm: 'RS256'});

Oauth

개요

OpenID Authentication의 줄임말로서, 말 그대로 인터넷 사용자들이 비밀번호를 제공하지 않고 다른 웹사이트 상의 자신들의 정보로 웹 사이트나 애플리케이션의 접근 권한을 부여할 수 있는 공통적인 수단으로 사용되는, 접근 위임을 위한 개방형 표준

이러한 인증 방식은 사용자들에게 외부 계정(Resource Server → Naver , Facebook , Google)을 기반으로 간편히 회원가입 클릭 한 번으로 간편하게 로그인할 수 있을 뿐만 아니라, 연동되는 외부 웹 어플리케이션에서 제공하는 기능을 간편하게 사용할 수 있다는 장점이 있습니다. 예를 들어, 외부 웹 어플리케이션에 Google로 로그인하면 API를 통해 연동된 계정의 Google Calendar 정보를 가져와 사용자에게 보여줄 수 있습니다.

• https://meetup.toast.com/posts/105

• https://velog.io/@undefcat/OAuth-2.0-간단정리

• https://tecoble.techcourse.co.kr/post/2021-07-10-understanding-oauth/

도입

Authorizing OAuth Apps - GitHub Docs

GitHub's OAuth implementation supports the standard authorization code grant type and the OAuth 2.0 Device Authorization Grant for apps that don't have access to a web browser. If you want to skip authorizing your app in the standard way, such as when testing your app, you can use the non-web application flow.

https://docs.github.com/en/developers/apps/building-oauth-apps/authorizing-oauth-apps

1. Client ID : 웹어플리케이션을 구분하는 식별자

2. Client Secret : Client ID에 대한 비밀키

3. Authorized redirect URL : Authorization Code를 전달받을 리다이렉트 주소입니다.

과정

GET https://github.com/login/oauth/authorize?client_id={client_id}&redirect_uri={redirect_uri}?scope={scope}

• https://meetup.toast.com/posts/105

• https://velog.io/@devsh/OAuth-2.0-에-대하여#3-oauth-20-동작-방식