로그인

[Wo-oJin]

~8/31

[ckd0325]

@salmonco @Wo-oJin @insu12021202

주소 저장이 다음과 같이 됩니다 우편번호는 필요없을 것 같고, 상세주소를(ex. ~406호) 포함시키고 검색을 해도 결과가 나오면 상관이 없는데 그렇지 않다면 도로명 주소와 상세주소를 분리해서 저장해야 할 것 같습니다. 어떤식으로 하는게 좋을 것 같나요?

[insu12021202]

지도 상에서 마커를 찍을 때 필수적인 주소는 상세주소를 제외한 도로명 주소까지 입니다.
마커를 찍기 위한 주소는 상세주소까지는 필요없는데, 가게 상세 페이지에서 가게의 주소를 텍스트로 기재하는 경우에는 상세 주소까지 필요합니다.
따라서 말씀하신대로 도로명 주소와 상세주소를 분리해서 저장한 후에,
마커 정보 요청이 들어오면 도로명 주소만 전달해주시고
가게 상세 정보 요청이 들어오면 상세주소까지 전달해주시는 게 좋아보입니다.
다른 분들 의견은 어떤가요?

[salmonco]

그렇게 하는 것이 좋은 것 같습니다

[Wo-oJin]

네네 db에도 반영해 놓겠습니다~

[Wo-oJin]

@salmonco @insu12021202 @ckd0325
[JWT Refresh Token을 어떻게 반환시킬 것인가?]

기본적으로 리다이렉트는 GET 요청으로 보내지는 거라, 리다이렉트와 함께 데이터 전송을 원할 시 HTTP Body가 존재하지 않기 때문에 무조건 url 파라미터로 이동시켜야 합니다. 그래서 지금 떠오르는 방법이 2가지가 있는데

[Wo-oJin]

(1) url parameter로 보내 돼, 지금처럼 이름을 refresh token = ""이 아닌 rt = ""식으로 바꿔 한번 꼬아주기

(2) 최초 로그인 시 서버에서 access token과 함께 유효시간이 1분 정도인 권한 부여 토큰을 보내고, 이 토큰을 서버에 다시 전달하면 그 때 refresh token을 전달해 주기

이 정도가 있는데 일단은 (1)번 방법으로 구현할 거고, (2)번이 더 좋아 보이거나 다른 방법 생각나시는 거 있으시면 말씀해 주시면 감사하겠습니다.

[Wo-oJin]

참고로 위 내용은 https://stackoverflow.com/questions/66866756/spring-oauth2-safe-to-return-refresh-token-in-query-parameter-after-successful을 참고했습니다.

정리하면 url parameter로 rt 전송 시 브라우저 기록과 HTTP 로그에 포함되어 보안적으로 취약하고, (2)번에서 언급했듯 1번 사용할 수 있는 권한 부여 코드를 앱으로 반환하는 방식으로 어느 정도 보완을 할 수 있다 합니다.

[salmonco]

찾아보니 보통 소셜 로그인 과정이 아래와 같네요. ex) 카카오

1. 로그인하기 버튼을 클릭했을 때 window.location.href로 카카오 페이지로 이동
2. 이때 카카오 페이지의 url에 포함되어 있는 redirect_uri를 프론트(ex. localhost:3000/kakaoLogin)로 설정
3. redirect_uri에 의해 redirect된 페이지(ex. kakaoLogin.js)에서, url에 포함되어 있는 인가코드를 담아 (필요하면 state도 담음) 서버에 axios 요청 후 jwt 토큰 및 개인정보 받아옴

jwt 토큰이 인가코드와 state로 만들어질 수 있다면 가능한 방법인데, 추가로 session이 필요하기 때문에 이 방법은 안 되는 것이지요? 만약 그렇다면 프론트에서 JSESSIONID 값을 가져와서 보내는 것도 생각해봤는데 JSESSIONID이 httpOnly 쿠기에 저장되어 있어서 자바스크립트로 접근할 수가 없어서 안 될 것 같네요.. (관련해서, 지금은 refresh token을 테스트 차원에서 localStorage에 저장되게 해놨는데 후에는 httpOnly 쿠키에 저장하려고 합니다.)

결론적으로, 지금은 일단 말씀하신 (1) 방법으로 하는 게 좋을 것 같고, 후에 보안 신경쓸 때 (2) 방법으로 바꾸는 것도 생각해볼 수 있을 것 같습니다.

[Wo-oJin]

@salmonco
음 아뇨 말씀하신 방법대로 해도 됩니다! 근데 첨부한 이미지에 나와있는 것처럼 code와 access key를 모두 서버 측에서 처리하도록 유도해서, 최대한 저런 식으로 구현하도록 하느라 그런 거였어요.

저도 okky등 한국 개발자 커뮤니티를 좀 봤는데, 지수님 말씀처럼 code를 front에서 받은 뒤 서버 쪽으로 넘기는 방식으로도 많이들 구현하시네요. 그래서 그냥 지수님이 말씀하신 대로 해도 괜찮을 것 같습니다.

일단 이거는 나중으로 미뤄두고 어느정도 mvp가 완성되면 그때 방법을 바꾸면 될 것 같아요!

[salmonco]

넵 확인했습니다!