[Server] apple oauth 로그인 로직 수정

[pminsung12]

🚀 완료한 기능 혹은 수정 기능

• Closed [Server] Apple Login 로직 수정 #111

💡 고민과 해결 과정

로그인 로직

1. client로부터 {identityToken, fullName}을 받는다.
2. identity 토큰을 검증한다.

3.그런데, identity Token내 payload에 속한 값들이 변조되지 않았는지 검증하기 위해서는 애플 서버의 public key를 사용해 JWS E256 signature를 검증해야한다.
4. public key는 get요청을 apple서버로부터 반환을 받는데, 키를 두개를 받는다. 이 중에 identity token 헤더에 있던 kid 값과 일치하는 키 값을 가져온다.
5. 이때, 반환 값은 JWTSet.Keys 형식이지만, identity 토큰을 검증하는 부분에서 jwt.verify 함수에 전달되는 applePublicKey 인자는 JWK 형식의 객체가 아닌 PEM 형식의 문자열이어야 하기 때문에 @panva/jose 라이브러리를 사용해 형식을 바꿔준다.
6. identityToken에서 항목들을 검증한다.
7. user가 존재하는지 확인하고, 없다면 identityToken에 있던 email, body에서 받은 fullName등을 활용해 user를 생성한다.
8. 자체적인 accessToken과 refeshToken을 발급해 반환한다.
9. 성공은 200, {accessToken, refreshToken}
10. 실패는 400, Unauthorized exception.

1. appleToken 발급 로직 삭제

배경

• 기존에는 clientSecret을 통해 appleToken을 발급받고 발급받으면 accessToken과 refreshToken을 반환해주었다.

문제

• appleToken을 발급받는 것 자체가 세션 유지와 apple api를 사용하기 위해 발급받는 것인데, 우리는 이미 사용자 인증과 동시에 자체적인 jwt 토큰을 만들어주어 세션유지를 한다.

해결

• 우리서비스는 apple api를 사용하지도 않고, only 사용자의 인증 목적인데 identityToken만 검증하면 사용자의 인증은 완료되므로 client secret과 apple token을 발급받는 로직을 삭제한다.
• 인증과 동시에 signToken 함수를 사용해 accessToken과 refreshToken을 발급해주고 함께 반환한다.

2. accessToken 재발급

배경

• refreshAccessToken 함수는 refreshToken이 오면, accessToken을 새로 발급해준다.

문제

• refreshToken이 만료될 때마다 사용자는 다시 애플 로그인 해야하는 번거로움이 있다.

해결

• accessToken이 만료되서 재발급 요청이 들어올 때마다 refreshToken도 같이 갱신되도록 한다.

📸 스크린샷

N/A

✅ 테스트 결과(커버리지/테스트 결과)

N/A

[yangdongsuk]

수고하셨습니다.