OAuth 인증 정보를 쿠키로 소통하는 건에 대하여

[zangsu]

OAuth 작업을 계획하면서 쿠키 사용을 지양하고 다른 방법을 사용하자는 의견이 있었어요.
이유는 쿠키 자체가 브라우저의 동작에 의존하기 때문이라고 이해했습니다. (맞나요 제우스?)

그래서 OAuth를 Http 메서드의 헤더를 사용해 구현하도록 계획 중이었습니다.

그런데!!
이렇게 될 경우 기존 방식과 로그인 유지를 위해 사용하는 수단이 달라져요. (쿠키 -> 헤더)
즉, 백엔드에서는

1. 쿠키를 먼저 확인해 인증 정보를 확인한다.
2. 쿠기 인증 정보가 없을 경우 헤더 인증 정보를 확인한다.
3. 둘 다 없을 경우 로그인이 되지 않았다고 판단한다.
   의 과정을 진행해야 해요.

차라리 두 방법을 통일시키기 위해 일단 쿠키를 사용하는 방식으로 구현하는 것이 좋을 것 같아요.
나중에 Cookie -> 헤더 를 사용하도록 변경하는 작업을 별도로 진행하고요.

이 상황을 공유 및 의견을 듣고자 디스커션 팠습니다.
내일 멀티 모듈 이야기를 하면서 함께 이야기 해 봐요!

[zangsu]

+) 궁금한 것이 있어 추가로 질문 남겨 둡니다.

우리 Authorization 헤더로 인증 정보를 넘겨주는 구현을 사용한 적이 있었을까요?
추후 Bearer 토큰 사용을 고려중입니다.

[zeus6768]

이유는 쿠키 자체가 브라우저의 동작에 의존하기 때문이라고 이해했습니다. (맞나요 제우스?)

맞읍니다...

레벨3에 로그인을 구현했던 제우스를 찾아가 혼내주고 싶네요. 💥

저는 여전히 HTTP 요청 응답의 Authorization 헤더를 사용할 것을 선호해요.

쿠키에는 CORS, 브라우저 의존, 부족한 확장성 등의 문제가 있어요.

그런 제약들에서 자유로워지려면, Authorization 헤더로 인증 방식을 변경해야 한다고 생각해요.

또한 쿠키도 헤더의 한 종류이기 때문에 쿠키에서 헤더로 변경하더라도 구현 로직이 크게 달라지지 않을 것이라고 생각하는데요.

그래서 작업 순서를

1. 쿠키 인증 방식을 헤더 인증 방식으로 변경한다.
2. OAuth를 구현한다.

와 같이 하는 게 더 좋다고 생각해요.

그러나 최근 몇 주간 짱수가 저보다 많이 찾아봤을 것 같아서, 짱수가 원하는 대로 하도록 존중해주고 싶긴 합니다 ㅎㅎ

[zangsu]

결정 사항

"Authorization 헤더를 사용하도록 변경하는 작업을 먼저 수행"