브라우저 없는 환경의 인증 한계를 RFC 8628 기반 Device Flow로 해결

Context

표준 OAuth flow의 브라우저 리다이렉션 의존성으로 인한 CLI, IoT, Headless 환경의 인증 불가능 문제 발생. 사용자 자격 증명을 직접 처리하지 않으면서 안전하게 토큰을 획득해야 하는 설계적 제약 존재.

Technical Solution

• RFC 8628 기반 Device Authorization Grant를 통한 Out-of-band 인증 구조 설계
• Device-to-Server 요청으로 User Code와 Verification URI를 발급하여 인증 주체를 별도 기기로 분리
• polling 기반의 Token Endpoint 요청 로직을 통해 사용자 인증 완료 시점의 Access Token 획득 구현
• slow_down 에러 발생 시 폴링 간격을 동적으로 증가시키는 Exponential Backoff 전략 적용
• Public Client 특성을 반영하여 Client Secret을 배제한 보안 모델 채택
• 0o600 파일 권한 설정을 통한 로컬 토큰 저장소의 접근 제어 강화