OAuth 2.0 보안 주의사항

OAuth 2.0 구현 시 보안 주의사항:

1. state 파라미터 필수 — CSRF 방어. 서버에서 생성한 랜덤값을 콜백 시 검증
2. Authorization Code Grant 사용 — Implicit Grant는 토큰이 URL에 노출되므로 사용 금지
3. PKCE 적용 — 특히 모바일/SPA에서 필수

   // code_verifier 생성
   // code_challenge = SHA256(code_verifier)
   // 인가 요청 시 challenge 전송
   // 토큰 요청 시 verifier 전송

4. redirect_uri 엄격 검증 — 와일드카드 금지, 정확한 URL 매칭
5. 토큰 저장 — access token은 메모리, refresh token은 HttpOnly 쿠키
6. scope 최소화 — 필요한 권한만 요청

잘못 구현된 OAuth는 계정 탈취로 이어질 수 있습니다. RFC 6749, 6819를 참고하세요.