웹 전용 OAuth 로그인 API 설계 및 구현

[Hyunstone]

배경

현재 소셜 로그인은 모바일 클라이언트가 provider 로그인을 완료한 뒤 서버에 결과 토큰만 전달하는 방식이다.
웹 클라이언트에서는 redirect/callback 기반 OAuth 흐름이 필요할 수 있어 별도 API 계약과 구현을 후속 이슈로 분리한다.

범위

• 웹 전용 OAuth 시작 endpoint 설계
• provider callback endpoint 설계
• state/nonce 검증 방식 정의
• 모바일 소셜 로그인 API와의 계약 분리
• Apple/Google/Kakao provider별 redirect URI 및 client id 설정 방식 정리
• Swagger/API 문서화
• 단위 테스트 및 필요 시 MVC 테스트 추가

고려사항

• 기존 모바일 API: POST /api/auth/{provider}/login 유지
• 웹 API는 기존 모바일 API와 토큰 입력 계약을 섞지 않는다
• 계정 연결 기능은 현재 미지원이며, 필요 시 별도 이슈로 분리한다