OAuth 2.0 흐름 정복, 보안 취약점 없는 인증 설계 전략

Context

인증과 인가 개념의 혼용으로 인한 설계 오류 발생. 클라이언트 환경에 맞지 않는 Flow 선택 시 Client Secret 노출 위험 존재. CSRF 공격 등 보안 취약점에 노출된 구현 방식의 한계.

Technical Solution

• 백엔드 서버 기반 웹 앱을 위한 Authorization Code Flow 적용 및 Server-to-Server 토큰 교환 구조 설계
• CSRF 공격 방지를 위해 요청과 응답 시 state 값을 검증하는 보안 메커니즘 도입
• SPA 및 모바일 앱의 Client Secret 노출 문제를 해결하기 위해 code_challenge와 code_verifier를 사용하는 PKCE Flow 채택
• 사용자 개입 없는 머신 간 통신을 위해 Client Credentials Flow를 통한 서비스 자체 인증 체계 구축
• 복잡한 토큰 교환 및 세션 관리 자동화를 위해 NextAuth.js 라이브러리를 활용한 추상화 계층 도입
• 보안 강화를 위한 short-lived Access Token 발행 및 httpOnly 쿠키 기반의 Refresh Token 저장 전략 적용

Key Takeaway

클라이언트의 신뢰 수준(Public vs Confidential)에 따라 적절한 Grant Type을 선택하는 것이 보안 설계의 핵심. 인증(Authentication)은 OIDC로, 권한 부여(Authorization)는 OAuth 2.0으로 명확히 분리하여 설계하는 원칙 준수.