OpenID Connect 딥다이브 — Authorization Code Flow부터 Discovery까지

+---------------------------------------------------------------+
| OIDC가 추가한 것                                                |
|  - ID Token (서명된 JWT, 인증 결과의 표준 포맷)                 |
|  - scope=openid 와 표준 클레임 (sub, email, name...)            |
|  - Discovery (/.well-known/openid-configuration)                |
|  - JWKS (서명 키 배포), UserInfo 엔드포인트                     |
|  - nonce, max_age, prompt, acr 등 인증 전용 파라미터            |
|  - RP-Initiated / Back-Channel Logout                           |
+---------------------------------------------------------------+
| OAuth 2.0 (RFC 6749) 가 제공하는 것                             |
|  - authorize / token 엔드포인트와 grant 흐름                    |
|  - access token, refresh token                                  |
|  - client 등록과 redirect_uri 검증                              |
+---------------------------------------------------------------+
| 기반: HTTP + TLS, JWT(RFC 7519), JWS/JWK                        |
+---------------------------------------------------------------+

{
  "alg": "RS256",
  "typ": "JWT",
  "kid": "rsa-key-2026-05"
}

{
  "iss": "https://idp.corp.com/realms/prod",
  "sub": "f9a8b7c6-1234-5678-90ab-cdef12345678",
  "aud": "web-dashboard",
  "exp": 1781258400,
  "iat": 1781258100,
  "auth_time": 1781258095,
  "nonce": "n-0S6_WzA2Mj",
  "acr": "urn:mace:incommon:iap:silver",
  "azp": "web-dashboard",
  "email": "yj.kim@corp.com",
  "email_verified": true,
  "name": "Youngju Kim",
  "preferred_username": "yj.kim"
}

[브라우저]              [RP 서버]                  [OP]
    |                       |                       |
    |-- 1. GET /login ----->|                       |
    |                       |  2. state, nonce,     |
    |                       |     code_verifier 생성 |
    |<- 3. 302 OP /authorize 로 리다이렉트 ---------|
    |-- 4. GET /authorize ------------------------->|
    |<- 5. 로그인 UI (SSO 세션 있으면 생략) --------|
    |-- 6. 인증 (passkey/MFA) --------------------->|
    |<- 7. 302 redirect_uri?code=...&state=... -----|
    |-- 8. GET /callback?code=...&state=... ->|     |
    |                       |  9. state 대조        |
    |                       |-- 10. POST /token --->|
    |                       |    (code+verifier)    |
    |                       |<- 11. 토큰 응답 ------|
    |                       |  12. id_token 검증,   |
    |                       |      nonce 대조       |
    |<- 13. 세션 쿠키 ------|                       |

# state: CSRF 방어용 (세션에 저장)
state=$(openssl rand -base64 32 | tr -d '=+/' | cut -c1-43)

# nonce: ID Token 리플레이 방어용 (세션에 저장)
nonce=$(openssl rand -base64 32 | tr -d '=+/' | cut -c1-43)

# PKCE: code_verifier와 그 SHA-256 해시인 code_challenge
code_verifier=$(openssl rand -base64 64 | tr -d '=+/' | cut -c1-128)
code_challenge=$(printf '%s' "$code_verifier" \
  | openssl dgst -sha256 -binary | openssl base64 -A \
  | tr '+/' '-_' | tr -d '=')

GET /realms/prod/protocol/openid-connect/auth
    ?response_type=code
    &client_id=web-dashboard
    &redirect_uri=https%3A%2F%2Fapp.example.com%2Fcallback
    &scope=openid%20profile%20email
    &state=af0ifjsldkj
    &nonce=n-0S6_WzA2Mj
    &code_challenge=E9Melhoa2OwvFrEMTJguCHaoeK1t8URWbuGJSstw-cM
    &code_challenge_method=S256 HTTP/1.1
Host: idp.corp.com

HTTP/1.1 302 Found
Location: https://app.example.com/callback
          ?code=SplxlOBeZQQYbYS6WxSbIA
          &state=af0ifjsldkj
          &iss=https%3A%2F%2Fidp.corp.com%2Frealms%2Fprod

POST /realms/prod/protocol/openid-connect/token HTTP/1.1
Host: idp.corp.com
Content-Type: application/x-www-form-urlencoded
Authorization: Basic d2ViLWRhc2hib2FyZDpzM2NyM3Q=

grant_type=authorization_code
&code=SplxlOBeZQQYbYS6WxSbIA
&redirect_uri=https%3A%2F%2Fapp.example.com%2Fcallback
&code_verifier=dBjftJeZ4CVP-mB92K27uhbUJU1p1r_wW1gFWFOEjXk

{
  "access_token": "eyJhbGciOiJSUzI1NiIs...",
  "token_type": "Bearer",
  "expires_in": 300,
  "refresh_token": "eyJhbGciOiJIUzUxMiIs...",
  "id_token": "eyJhbGciOiJSUzI1NiIs...",
  "scope": "openid profile email"
}

curl -s https://idp.corp.com/realms/prod/.well-known/openid-configuration

{
  "issuer": "https://idp.corp.com/realms/prod",
  "authorization_endpoint": "https://idp.corp.com/realms/prod/protocol/openid-connect/auth",
  "token_endpoint": "https://idp.corp.com/realms/prod/protocol/openid-connect/token",
  "userinfo_endpoint": "https://idp.corp.com/realms/prod/protocol/openid-connect/userinfo",
  "jwks_uri": "https://idp.corp.com/realms/prod/protocol/openid-connect/certs",
  "end_session_endpoint": "https://idp.corp.com/realms/prod/protocol/openid-connect/logout",
  "scopes_supported": ["openid", "profile", "email", "offline_access"],
  "response_types_supported": ["code"],
  "id_token_signing_alg_values_supported": ["RS256", "ES256", "EdDSA"],
  "code_challenge_methods_supported": ["S256"]
}

{
  "keys": [
    {
      "kid": "rsa-key-2026-05",
      "kty": "RSA",
      "alg": "RS256",
      "use": "sig",
      "n": "0vx7agoebGcQSuuPiLJXZpt...",
      "e": "AQAB"
    },
    {
      "kid": "rsa-key-2026-06",
      "kty": "RSA",
      "alg": "RS256",
      "use": "sig",
      "n": "zNf1a9pXkQpW3mLbV2c...",
      "e": "AQAB"
    }
  ]
}

curl -s https://idp.corp.com/realms/prod/protocol/openid-connect/userinfo \
  -H "Authorization: Bearer eyJhbGciOiJSUzI1NiIs..."

{
  "sub": "f9a8b7c6-1234-5678-90ab-cdef12345678",
  "name": "Youngju Kim",
  "email": "yj.kim@corp.com",
  "email_verified": true,
  "groups": ["sso-admins", "developers"]
}

ID Token 수신 시 (RP):
[ ] 1. token 엔드포인트의 TLS 응답에서 받았는가 (front-channel 수신 금지)
[ ] 2. JWS header의 alg가 허용 목록(RS256/ES256/EdDSA)에 있는가
       - alg=none 거부, 대칭(HS256) 혼용 거부
[ ] 3. kid로 JWKS에서 키를 찾아 서명 검증
[ ] 4. iss == Discovery의 issuer (문자열 정확 일치)
[ ] 5. aud에 내 client_id 포함, 다중 audience면 azp == 내 client_id
[ ] 6. exp 미경과, iat 합리적 범위 (clock skew 60~120초 허용)
[ ] 7. nonce == 세션에 저장한 값 (사용 후 폐기)
[ ] 8. 재인증 요구가 있었다면 auth_time/acr 확인
[ ] 9. 계정 매칭은 iss+sub 조합으로 (email 매칭 금지)

Access Token 수신 시 (Resource Server):
[ ] 1. 서명 검증 (JWT인 경우) 또는 introspection (opaque인 경우)
[ ] 2. iss, exp 검증
[ ] 3. aud 또는 resource indicator가 "이 API"인지 검증
[ ] 4. scope가 요청된 작업을 허용하는지 확인
[ ] 5. 필요 시 토큰 발급 시각 기반의 폐기 정책 적용