안녕하세요. 질문이 있는 사람입니다.
유저가 서버에 접근하기 위해 자신의 계정으로 접근하는게 일반적일 것입니다.
요즘 구글로 로그인, 페이스북으로 로그인등 OAuth를 쓰는 곳이 많은 것으로 알고 있습니다.
이는 기존의 OAuth는 access 토큰을 발급후 사용자가 API call시 access 토큰을 같이 전송하면
해당 인증 서버에서 토큰을 인증하고 확인해준 후에 서버에서 API를 response하는 것으로 알고 있습니다.
그러다 찾은 기술이 JWT입니다. 이는 JWT라는 토큰을 서버에서 발급해주면 이후에 API 접근시 해당 JWT를 같이 전송하게 됩니다.
토큰의 유효성을 다른 서버에서 인증하는 것이 아니라 토큰내에 정보가 존재하기 때문에 비밀키를 아는 사용자만 검증이 가능한 기술이라는 것입니다.
최종적으로 제가 궁금한 사항은 구글이나 페이스북으로 로그인하여 제 서버에서 JWT를 발급하려 할 때,
구글이나 페이스북등에서 제가 로그인하면 그것을 제 서버에게 access토큰이 아니 인가된 사용자라는 것만 알려주는 것이 가능한가요?
불가능하다면 JWT를 통해 인증하려 하는데, 별도의 인증서버 없이 제가 구현한 서버에서 계정을 만들고 특정 scope로 한정된 JWT를 사용자에게 발급하여 사용하는것은 괜찮을까요?
제가 질문을 잘 못하여서 이해하시는게 힘드실 수 도 있습니다.
감사합니다.
