대역 외 (OOB) 흐름 이전 가이드

개요

2022년 2월 16일 Google은 더 안전한 OAuth 흐름을 사용하여 Google OAuth 상호작용을 더 안전하게 만들 계획을 발표했습니다. 이 가이드는 OAuth 대역 외 (OOB) 흐름에서 지원되는 대안으로 성공적으로 마이그레이션하는 데 필요한 변경사항과 단계를 이해하는 데 도움이 됩니다.

이러한 조치는 Google의 OAuth 2.0 승인 엔드포인트와 상호작용하는 동안 피싱 및 앱 명의 도용 공격을 방지하기 위한 보호 조치입니다.

OOB 흐름이 모든 클라이언트 유형(예: 웹 애플리케이션, Android, iOS, 범용 Windows 플랫폼(UWP), Chrome 앱, TV 및 입력 제한 기기, 데스크톱 앱)에서 지원 중단됩니다.

영향을 받는지 확인하기

이번 지원 중단은 프로덕션 앱 (즉, 게시 상태가 프로덕션으로 설정된 앱)에만 적용됩니다. 테스트 게시 상태인 앱에서는 이 흐름이 계속 작동합니다.

게시 상태가 '프로덕션'인 프로젝트에서 OOB 흐름을 사용하는 경우 Google API Console 의 OAuth Consent Screen page에서 게시 상태를 검토하고 다음 단계로 진행하세요.

앱에서 OOB 흐름을 사용하고 있는지 확인하는 방법

앱 코드를 검사하거나 발신 네트워크 호출 (앱에서 OAuth 라이브러리를 사용하는 경우)을 검토하여 앱에서 실행하는 Google OAuth 승인 요청이 OOB 리디렉션 URI 값을 사용하는지 확인합니다.

애플리케이션 코드 검사

https://accounts.google.com/o/oauth2/v2/auth?
response_type=code&
scope=<SCOPES>&
state=<STATE>&
redirect_uri=urn:ietf:wg:oauth:2.0:oob&
client_id=<CLIENT_ID>

발신 네트워크 호출 검사

https://accounts.google.com/o/oauth2/v2/auth?
response_type=code&
scope=<SCOPES>&
state=<STATE>&
redirect_uri=urn:ietf:wg:oauth:2.0:oob&
client_id=<CLIENT_ID>

안전한 대안으로 이전

모바일 클라이언트 (Android / iOS)

앱이 Android 또는 iOS OAuth 클라이언트 유형에서 OOB 흐름을 사용한다고 확인되면 Google 로그인 모바일 SDK(Android, iOS)를 사용하도록 이전해야 합니다.

SDK를 사용하면 Google API에 쉽게 액세스하고 Google의 OAuth 2.0 승인 엔드포인트에 대한 모든 호출을 처리할 수 있습니다.

아래 문서 링크에서는 Google 로그인 SDK를 사용하여 OOB 리디렉션 URI 없이 Google API에 액세스하는 방법을 설명합니다.

Android에서 Google API에 액세스

서버 측 (오프라인) 액세스

Task<GoogleSignInAccount> task = GoogleSignIn.getSignedInAccountFromIntent(data);
try {
  GoogleSignInAccount account = task.getResult(ApiException.class);
  
  // request a one-time authorization code that your server exchanges for an
  // access token and sometimes refresh token
  String authCode = account.getServerAuthCode();
  
  // Show signed-in UI
  updateUI(account);

  // TODO(developer): send code to server and exchange for access/refresh/ID tokens
} catch (ApiException e) {
  Log.w(TAG, "Sign-in failed", e);
  updateUI(null);
}

서버 측에서 Google API에 액세스하는 방법은 서버 측 액세스 가이드를 참고하세요.

iOS 앱에서 Google API에 액세스

클라이언트 측 액세스

아래 예는 iOS의 클라이언트 측에서 Google API에 액세스하는 방법을 보여줍니다.

user.authentication.do { authentication, error in
  guard error == nil else { return }
  guard let authentication = authentication else { return }
  
  // Get the access token to attach it to a REST or gRPC request.
  let accessToken = authentication.accessToken
  
  // Or, get an object that conforms to GTMFetcherAuthorizationProtocol for
  // use with GTMAppAuth and the Google APIs client library.
  let authorizer = authentication.fetcherAuthorizer()
}

REST 또는 gRPC 요청의 헤더에 액세스 토큰을 포함하거나 (Authorization: Bearer ACCESS_TOKEN) REST용 Objective-C용 Google API 클라이언트 라이브러리와 함께 가져오기 승인자 (GTMFetcherAuthorizationProtocol)를 사용하여 액세스 토큰을 사용하여 API를 호출합니다.

클라이언트 측에서 Google API에 액세스하는 방법은 클라이언트 측 액세스 가이드를 참고하세요. 클라이언트 측에서 Google API에 액세스하는 방법을 참조하세요.

서버 측 (오프라인) 액세스

GIDSignIn.sharedInstance.signIn(with: signInConfig, presenting: self) { user, error in
  guard error == nil else { return }
  guard let user = user else { return }
  
  // request a one-time authorization code that your server exchanges for
  // an access token and refresh token
  let authCode = user.serverAuthCode
}

서버 측에서 Google API에 액세스하는 방법은 서버 측 액세스 가이드를 참고하세요.

Chrome 앱 클라이언트

앱이 Chrome 앱 클라이언트에서 OOB 흐름을 사용한다고 확인되면 Chrome ID API를 사용하도록 이전해야 합니다.

아래 예는 OOB 리디렉션 URI를 사용하지 않고 모든 사용자 연락처를 가져오는 방법을 보여줍니다.

window.onload = function() {
  document.querySelector('button').addEventListener('click', function() {

  
  // retrieve access token
  chrome.identity.getAuthToken({interactive: true}, function(token) {
  
  // ..........


  // the example below shows how to use a retrieved access token with an appropriate scope
  // to call the Google People API contactGroups.get endpoint

  fetch(
    'https://people.googleapis.com/v1/contactGroups/all?maxMembers=20&key=API_KEY',
    init)
    .then((response) => response.json())
    .then(function(data) {
      console.log(data)
    });
   });
 });
};

사용자 인증에 액세스하고 Chrome ID API로 Google 엔드포인트를 호출하는 방법에 대한 자세한 내용은 Chrome ID API 가이드를 참고하세요.

웹 애플리케이션

앱이 웹 애플리케이션의 OOB 흐름을 사용한다고 확인되면 Google API 클라이언트 라이브러리 중 하나를 사용하도록 이전해야 합니다. 다양한 프로그래밍 언어용 클라이언트 라이브러리는 여기에 나와 있습니다.

라이브러리를 사용하면 쉽게 Google API에 액세스하고 Google 엔드포인트에 대한 모든 호출을 처리할 수 있습니다.

서버 측 (오프라인) 액세스

아래 코드 스니펫은 Google Drive API를 사용하여 OOB 리디렉션 URI를 사용하지 않고 서버 측에 사용자의 Google Drive 파일을 나열하는 NodeJS 예를 보여줍니다.

async function main() {
  const server = http.createServer(async function (req, res) {

  if (req.url.startsWith('/oauth2callback')) {
    let q = url.parse(req.url, true).query;

    if (q.error) {
      console.log('Error:' + q.error);
    } else {
      
      // Get access and refresh tokens (if access_type is offline)
      let { tokens } = await oauth2Client.getToken(q.code);
      oauth2Client.setCredentials(tokens);

      // Example of using Google Drive API to list filenames in user's Drive.
      const drive = google.drive('v3');
      drive.files.list({
        auth: oauth2Client,
        pageSize: 10,
        fields: 'nextPageToken, files(id, name)',
      }, (err1, res1) => {
        // TODO(developer): Handle response / error.
      });
    }
  }
}

서버 측에서 Google API에 액세스하는 방법은 서버 측 웹 앱 가이드를 참조하세요.

클라이언트 측 액세스

아래 JavaScript 코드 스니펫은 클라이언트 측에서 사용자의 캘린더 일정에 액세스하기 위해 Google API를 사용하는 예를 보여줍니다.

// initTokenClient() initializes a new token client with your
// web app's client ID and the scope you need access to

const client = google.accounts.oauth2.initTokenClient({
  client_id: 'YOUR_GOOGLE_CLIENT_ID',
  scope: 'https://www.googleapis.com/auth/calendar.readonly',
  
  // callback function to handle the token response
  callback: (tokenResponse) => {
    if (tokenResponse && tokenResponse.access_token) { 
      gapi.client.setApiKey('YOUR_API_KEY');
      gapi.client.load('calendar', 'v3', listUpcomingEvents);
    }
  },
});

function listUpcomingEvents() {
  gapi.client.calendar.events.list(...);
}

클라이언트 측에서 Google API에 액세스하는 방법은 클라이언트 측 웹 앱 가이드를 참고하세요.

데스크톱 클라이언트

앱이 데스크톱 클라이언트에서 OOB 흐름을 사용한다고 확인되면 루프백 IP 주소 (localhost 또는 127.0.0.1) 흐름을 사용하도록 이전해야 합니다.