우선 상황 부터 말씀드리면, app에서 facebook oauth 수행 후에 access token 을 저장해 둔 상태입니다.
서버측에는 user 테이블에 서비스 코드(facebook or twitter) 와 아이디를 저장해둔 상태이구요.
문제는 클라이언트쪽에서 consumer 서비스에 접근할 때, 아이디와 서비스코드만으로 인증된 유저인지 보장할 수 있는 걸까요?
누군가의 남의 페이스북 아이디를 안다는 것만으로 서비스를 인증해 줄 수는 없지 않는가 싶네요..;;;
생각해 본 방법은,
클라이언트에서 엑세스 토큰을 consumer 서버에 보낸후 consumer 서버쪽에서 provider 에 물어 확인하도록 하는 방법인데...
이 방법이 과연 옳은 방법일지 의십스럽네요.
다른 좋은 방법이 없을까요?
(혹, 인증은 전적으로 service provider 에 일임한다, 라는 개념으로 접근하는 것인가요???)