Understanding OAuth2 Flow with a Complete Java Servlet Demo (Step-by-Step)

Context

OAuth2는 일상적으로 사용되지만 이론만 설명하거나 문맥 없는 단편적 코드만 제시하는 튜토리얼이 대부분이다. 전체 흐름을 엔드-투-엔드로 실행 가능한 형태로 보여주는 자료의 부재가 학습 진입장벽을 높인다.

Technical Solution

• Client 역할: LoginServlet에서 /login 엔드포인트를 통해 Authorization Server의 /authorize로 사용자를 리다이렉트하고, 반환받은 authorization code를 /token 엔드포인트로 교환
• Authorization Server 역할: /authorize 엔드포인트에서 사용자 인증(username/password) 및 consent 폼 제시, 승인 시 authorization code(abc123) 생성 후 client의 redirect_uri로 반환
• Callback 처리: /callback 엔드포인트에서 authorization code를 수신해 저장
• Token 발급: /token 엔드포인트에서 authorization code를 검증해 access token(예: auth_token_12345) 발급
• Resource Server 역할: /data 엔드포인트에서 Authorization 헤더의 access token을 검증해 보호된 사용자 정보 반환

Key Takeaway

OAuth2의 핵심은 클라이언트가 사용자 비밀번호를 직접 취급하지 않고 Authorization Server가 발급한 토큰으로 위임된 접근을 통제하는 구조이며, Resource Owner, Client, Authorization Server, Resource Server 4개 역할의 상호작용을 실제 Servlet 코드로 매핑해 구현하면 추상적 개념이 구체적 흐름으로 체화된다.