OAuth란?

사용자가 비밀번호를 직접 주지 않고 제3자 앱에 "내 Google 프로필만 읽게 허용" 같은 제한된 권한을 위임하는 프로토콜이다.

주요 Flow

  • Authorization Code — 서버 앱 표준
  • Authorization Code + PKCE — 모바일·SPA 권장
  • Client Credentials — 머신 간 인증

주의

  • Implicit Flow는 더 이상 권장 안 됨
  • Refresh token은 서버에 안전 보관
  • Redirect URI 화이트리스트 엄격 관리