세션 · JWT · OAuth2 · SSO — 토큰 3형제

[클라이언트]                   [서버]                 [세션 저장소]
   login ──────────────────────> ✓
                                 세션 생성 ────────────> sess_abc = {userId:42}
   Set-Cookie: sid=abc <──────── 응답

   다음 요청
   Cookie: sid=abc ─────────────> 조회 ─────────────> sess_abc 읽기
                                 검증 후 처리

JWT 구조 (점으로 3등분)
  헤더.페이로드.서명
  eyJhbGciOiJIUzI1NiJ9 . eyJ1aWQiOjQyLCJleHAiOjE3MDB9 . X7t...

  Base64 디코드 하면:
  Header:  { "alg": "HS256", "typ": "JWT" }
  Payload: { "uid": 42, "role": "admin", "exp": 1700000000 }
  Signature: HMAC_SHA256(base64(header)+"."+base64(payload), SECRET)

import jwt from "jsonwebtoken";

const ACCESS_SECRET  = process.env.JWT_ACCESS_SECRET!;
const REFRESH_SECRET = process.env.JWT_REFRESH_SECRET!;

// 로그인 성공 시 — 2종 발급
function issueTokens(user: { id: string; role: string }) {
  const access = jwt.sign(
    { uid: user.id, role: user.role },
    ACCESS_SECRET,
    { expiresIn: "15m" }
  );
  const refresh = jwt.sign(
    { uid: user.id, ver: 1 },
    REFRESH_SECRET,
    { expiresIn: "14d" }
  );
  return { access, refresh };
}

// API 보호 미들웨어
function authRequired(req, res, next) {
  const token = req.headers.authorization?.replace("Bearer ", "");
  try {
    req.user = jwt.verify(token, ACCESS_SECRET);   // 서명 검증
    next();
  } catch {
    return res.status(401).json({ error: "invalid token" });
  }
}

// ⚠️ 페이로드에 절대 넣지 말 것
// - 비밀번호, 주민번호, 카드번호
// - 자주 바뀌는 권한 (JWT는 만료까지 그 권한 유지됨)

OAuth2 Authorization Code Flow (가장 표준)

[유저] → [내 앱] "Google 로그인 클릭"
         ↓ (리다이렉트)
[유저] → [Google] 로그인 + 동의 화면
         ↓ (리다이렉트 + code)
[내 앱] → [Google 서버] code + client_secret 교환
         ← access_token + id_token + refresh_token
[내 앱] → [Google API] access_token으로 프로필 조회
         ← { id: "...", email: "..." }
[내 앱] → 내 DB에 유저 upsert → 내 JWT 발급 → 쿠키로 응답

import bcrypt from "bcrypt";

// 회원가입 — 저장 시
const hash = await bcrypt.hash(plainPassword, 12);   // 12 라운드 = 느리게
await db.users.insert({ email, passwordHash: hash });

// 로그인 — 비교 시
const user = await db.users.findByEmail(email);
const ok = await bcrypt.compare(plainPassword, user.passwordHash);
if (!ok) return res.status(401).end();

// ❌ 절대 하지 말 것
// - SHA1(password)
// - MD5(password)
// - "같은 비밀번호면 같은 해시" 패턴 (salt 없음)