OAuth

OAuth(오어스, Open Authorization)는 내 비밀번호를 알려 주지 않고, 다른 앱이 내 계정의 일부 기능만 쓰도록 허락해 주는 표준 방식이에요. 호텔 발렛 주차 키와 비슷해요. 차 키 전부(비밀번호)를 주는 대신, 운전만 되고 트렁크는 안 열리는 키(권한이 정해진 토큰)를 건네요.

누가 등장해요?

OAuth 는 어떻게 흘러가요?

가장 많이 쓰는 "인가 코드" 방식은 이렇게 움직여요.

1. 쇼핑몰에서 "구글로 로그인"을 눌러요. 쇼핑몰은 나를 구글 로그인 화면으로 보내요.
2. 나는 구글 화면에서 로그인하고, "이메일·프로필을 이 앱에 보여 줄까요?" 동의 화면에서 허용을 눌러요.
3. 구글은 미리 등록된 쇼핑몰 주소(리다이렉트 URI)로 일회용 인가 코드를 돌려보내요.
4. 쇼핑몰 서버는 이 코드를 구글에 내고 액세스 토큰으로 바꿔요. 이 교환은 서버끼리 해서 브라우저에 드러나지 않아요.
5. 쇼핑몰은 토큰으로 내 이메일·이름을 받아 회원으로 만들고, 자기 세션을 열어 로그인을 끝내요.

실제 구글은 어떤 주소를 쓰는지 열어 봤어요

OAuth·OpenID 제공자는 "우리 주소는 이거예요"를 정해진 위치에 공개해요. 2026년 10월 29일 구글 것을 받아 봤어요.

$ curl -s https://accounts.google.com/.well-known/openid-configuration
{
 "issuer": "https://accounts.google.com",
 "authorization_endpoint": "https://accounts.google.com/o/oauth2/v2/auth",
 "token_endpoint": "https://oauth2.googleapis.com/token",
 "userinfo_endpoint": "https://openidconnect.googleapis.com/v1/userinfo",
 "scopes_supported": ["openid", "email", "profile"],
 "grant_types_supported": ["authorization_code", "refresh_token",
   "urn:ietf:params:oauth:grant-type:device_code", "urn:ietf:params:oauth:grant-type:jwt-bearer"]
}
(필요한 항목만 골랐어요)

OAuth 와 OpenID Connect, 로그인과 권한은 뭐가 달라요?

OAuth 는 원래 "무엇을 해도 되는지(권한, 인가)"를 정하는 규칙이에요. "이 사람이 누구인지(로그인, 인증)"를 확인하는 부분은 그 위에 얹은 OpenID Connect(OIDC)가 맡아요. 위 구글 설정의 scopes 에 openid 가 있는 이유예요. 소셜 로그인은 보통 둘을 같이 써요.

동의 화면에서 꼭 볼 것

• 주소창을 봐요. 진짜 구글·카카오 주소인지 확인하세요. 비슷한 가짜 화면에 비밀번호를 넣으면 OAuth 도 소용없어요.
• 요청하는 권한을 봐요. 로그인만 하는 앱이 "메일 읽기·보내기", "드라이브 전체"를 달라고 하면 멈추세요.
• 나중에 정리해요. 구글 계정 설정의 "연결된 앱"에서 안 쓰는 앱의 권한을 지울 수 있어요.

내 앱에 붙이려면

자주 하는 오해

• 소셜 로그인하면 앱이 내 비밀번호를 안다. 몰라요. 비밀번호는 구글 화면에만 넣어요.
• 토큰은 한 번 주면 영원하다. 액세스 토큰은 보통 짧게 살아요. 오래 쓰려면 리프레시 토큰으로 새로 받고, 사용자가 언제든 취소할 수 있어요.
• OAuth 는 로그인 기능이다. OAuth 는 권한을 넘기는 규칙이에요. 로그인은 OpenID Connect 가 더해져야 정확해요.

퓨쳐인프라에서는

Claude Code 같은 AI 도구를 퓨쳐인프라에 연결할 때도 같은 생각을 따라요. AI 가 연결을 요청하면 사람이 브라우저에서 퓨쳐인프라에 직접 로그인하고, 화면의 코드가 맞는지 확인한 뒤 허용을 눌러요. 10분 안에 허용해야 하고, 그러면 AI 도구는 비밀번호를 모른 채 그 조직용 열쇠만 받아요. 키보드 없는 기기에서 쓰는 OAuth 기기 인증 흐름과 같은 모양이에요.

로그인 기능이 있는 앱을 만들었다면 앱 호스팅에 올리면 HTTPS 주소가 붙어서 리다이렉트 URI 로 바로 쓸 수 있어요. 자세한 연결 방법은 MCP 연동 문서에 있어요.

자주 묻는 질문

OAuth 는 어떻게 읽어요?

보통 '오어스' 또는 '오오스'라고 읽어요. Open Authorization 의 줄임말이에요.

OAuth 1.0 과 2.0 은 뭐가 달라요?

2.0 은 2012년에 나온 새 판이에요. 웹·모바일·기기용 흐름을 나눠 쓰기 쉽게 만들었고, 지금은 대부분 2.0 을 써요.

액세스 토큰이 새면 어떻게 돼요?

토큰에 허락된 범위 안에서 남이 내 정보를 쓸 수 있어요. 제공자의 '연결된 앱'에서 바로 권한을 끊으세요.

소셜 로그인은 안전한가요?

비밀번호를 여러 사이트에 뿌리지 않아도 돼서 안전해지는 면이 커요. 다만 구글·카카오 계정 자체에 2단계 인증을 켜 두는 게 중요해요.

관련 용어

2단계 인증 · 세션 · 해시 · MCP · MCP 연동