refresh token : Access token의 수명이 다했을 때 번거로운 인증을 다 하지 않고 새로운 access token을 발급 받는 방법 - 출처 opentutorials.org 생활코딩 egoing님

api : application programming interface resoure server가 client에게 우리를 쓰려면 이렇게 해야한다 라고 알려주는 방식 client가 resource server를 호출해서 어떤 일들을 하려는데 그때의 resource server를 호출하는 그 접점에 있는 그 조작장치 - 출처 opentutorials.org 생활코딩 egoing님

서버는 authorization code 값을 통해 이미 인증을 했기 때문에 값을 지운다. 서버는 access Token을 발급하고 client에 응답해주고 client는 내부적으로 저장을 한다. 그리고 이 access Token은 무엇을 보장하냐면 client가 4라고 하는 access Token으로 접근하면 resource server는 access Token 4를 보고 저 4는 user ID: 1 에 해당하는 사용자의 유효한 기능 B와C에 대해 권한이 열려있는 access key니까 B와C 그리고 user ID: 1에 해당되는 사용자의 정보에 대해서 access Token 4를 가진 사람에게 허용을 해야겠다라고 생각하고 동작하게 된다. - 출처 opentutorials.org 생활코딩 egoing님

resource server가 승인을 하기 위해서 바로 access Token을 발급하지 않고 그 전에 절차가 하나 더있다. 그때 사용하는 임시 비밀번호가 authorization code 이다. 이것을 server가 owner에게 전송한다. 적혀있는주소는 응답할 때 헤더 값으로 Location이라는 값을 주면 그 뒷부분에 있는 주소로 이동하라고 명령한것이다. (redirection이라고 함) owner는 헤더 값에 의해서 owner의 사용자 그 사람이 인식하지도 못하게 저 주소로 이동을 하게된다. code=3 이라는 값에 의해서 client는 authorization code:3 이라는 값을 갖게 된다. 그럼 이때의 client가 server에게 저 authorization code:3 이라고 하는 정..

등록을 하게 되면 resource server와 client 둘다 client ID와 client secret 그리고 redirect URL이라는 3가지 핵심정보를 알게된다. redirect URL에 해당하는 페이지를 구현해놓고 준비 해놓고 있어야한다. resource server가 가지고 있는 기능이 a,b,c,d 4개이고 client는 b와c 두개만 필요하다면 모든 기능에 대한 인증을 받는것이 아니라 최소한의 인증만 받는다. 이런상황일때 resource owner은 우리(client)의 application에 접속을 할것이다. 근데 그 접속을 하는 과정에서 우리가 resource server를 사용해야하는 상황이 있다라고 가정 (ex. facebook에 글을 게시, google calender에 날짜..

client가 resource server를 이용하려면 사전에 resource server의 승인을 받아야하는데 이걸 등록이라고 한다. service마다 등록하는 방법은 다르지만 공톡적으로 아래 3개 요소를 받는다. Client ID : 우리가 만드는 Application을 식별하는 식별자 ID , 노출될수있음 Client Secret : 그것에 대한 pwd , 절대 노출되면 x 보안 사고 Authorized redirect URLs : resource server가 권한을 부여하는 과정에서우리한테 authorize code라는 값을 전달해주는데 그때에 이 주소로 전달해달라고 요청하는것. - 출처 opentutorials.org 생활코딩 egoing님

their -> Resource Server : 우리가 제어하고자 하는 자원을 갖고있는 서버라는 뜻 User -> Resource Owner : 자원의 소유자 mine -> Client : 우리의 서비스를 Resource Server에 접속해서 정보를 가져가는 Client라는 뜻 Resource Server는 데이터를 가지고 있는 서버 Authorization Server는 인증과 관련된 처리를 전담하는 서버 공식메뉴얼에서는 이 두가지를 구분 하지만 우리는 하나로 생각할 것 - 출처 opentutorials.org 생활코딩 egoing님

oAuth를 이용하면 기존 their의 서비스가 id와 pwd를 mine 서비스가 가지고 있었는데 user의 요청에 의해 their 의 서비스가 id와 pw 대신 accessToken이라고 하는 일종의 비밀번호를 발급한다. accessToken은 첫번째, theird의 id와 pwd가 아니라는 장점이 있고 두번째 그들의 서비스가 가지고 있는 모든 기능이 아니라 나의 서비스가 필요한 필수적인 부분만 부분적으로 허용하는 비밀번호이다. 그래서 their 서비스의 accessToken을 oAuth를 통해 얻은 다음 그 accessToken을 통해서 their 서비스에 접근해서 데이터를 가져오고 수정하고 생성하고 삭제하는 작업을 할 수 있게 된다. oAuth의 이러한 특징들을 이용하면 회원들의 id와 pwd를 처..