forked from baron/baron-sso
118 lines
5.2 KiB
Markdown
118 lines
5.2 KiB
Markdown
# Consent 반복 노출 문제 해결 보고서
|
|
|
|
## 1. 개요
|
|
Gitea 등 RP(Relying Party) 로그인 시, 사용자가 이미 권한에 동의했음에도 불구하고 재로그인할 때마다 Consent(권한 동의) 화면이 반복적으로 노출되는 문제를 해결했습니다.
|
|
이 문서는 해당 문제를 해결하기 위해 수정된 파일, 함수, 그리고 변경된 동작 흐름을 기술합니다.
|
|
|
|
## 2. 수정된 파일 및 함수
|
|
|
|
### A. 백엔드 서비스 계층
|
|
* **파일**: `backend/internal/service/hydra_admin_service.go`
|
|
* **함수**: `AcceptConsentRequest`, `AcceptLoginRequest`
|
|
* **변경 내용**: Hydra에 동의 및 로그인 정보를 저장할 때 유효 기간(`remember_for`)을 연장.
|
|
|
|
### B. 백엔드 핸들러 계층
|
|
* **파일**: `backend/internal/handler/auth_handler.go`
|
|
* **함수**: `GetConsentRequest`
|
|
* **변경 내용**: Hydra로부터 받은 동의 요청 정보에 `skip: true` 플래그가 있는 경우, 화면 데이터를 반환하는 대신 **자동 승인 프로세스**를 수행하도록 로직 추가.
|
|
|
|
### C. 프론트엔드 (UserFront)
|
|
* **파일**: `userfront/lib/features/auth/presentation/consent_screen.dart`
|
|
* **함수**: `_fetchConsentInfo`
|
|
* **변경 내용**: 백엔드 API 응답에 `redirectTo` 필드가 포함된 경우, UI 렌더링을 건너뛰고 **즉시 해당 URL로 리다이렉트**하도록 수정.
|
|
|
|
---
|
|
|
|
## 3. 상세 수정 로직 및 동작 흐름
|
|
|
|
### 3.1. 동의 기억 기간 연장 (Backend Service)
|
|
기존에는 동의 정보가 1시간(`3600`) 동안만 유지되어, 1시간 후 재로그인 시 다시 동의 화면이 나타났습니다. 이를 30일(`2592000`)로 늘려 사용자의 편의성을 높였습니다.
|
|
|
|
```go
|
|
// backend/internal/service/hydra_admin_service.go
|
|
|
|
func (s *HydraAdminService) AcceptConsentRequest(...) {
|
|
// ...
|
|
payload := map[string]interface{}{
|
|
// ...
|
|
"remember": true,
|
|
"remember_for": 2592000, // 수정 전: 3600 (1시간) -> 수정 후: 30일
|
|
}
|
|
// ...
|
|
}
|
|
```
|
|
|
|
### 3.2. 자동 승인(Skip) 로직 구현 (Backend Handler)
|
|
Hydra는 사용자가 이전에 동의한 기록이 유효하다면 `skip: true` 플래그를 보냅니다. 백엔드는 이 신호를 감지하여 사용자 개입 없이 동의 절차를 완료해야 합니다.
|
|
|
|
**[수정된 흐름]**
|
|
1. `GetConsentRequest` 호출 시 Hydra로부터 `consentRequest` 정보를 받아옴.
|
|
2. `consentRequest.Skip`이 `true`인지 확인.
|
|
3. **True인 경우 (자동 승인):**
|
|
* Kratos에서 사용자 신원(`Identity`) 조회.
|
|
* 사용자 특성(`Traits`)을 기반으로 OIDC 클레임(`sessionClaims`) 생성.
|
|
* `Hydra.AcceptConsentRequest`를 호출하여 승인 처리.
|
|
* Hydra가 반환한 리다이렉트 URL(`redirectTo`)을 프론트엔드에 JSON으로 응답.
|
|
4. **False인 경우 (일반 진행):**
|
|
* 기존 로직대로 Consent 화면에 필요한 정보(클라이언트 이름, 스코프 목록 등)를 반환.
|
|
|
|
```go
|
|
// backend/internal/handler/auth_handler.go
|
|
|
|
func (h *AuthHandler) GetConsentRequest(c *fiber.Ctx) error {
|
|
// ... Hydra 조회 ...
|
|
|
|
// [추가된 로직] Skip 플래그 확인 및 자동 승인
|
|
if consentRequest.Skip {
|
|
// 1. 사용자 정보 조회
|
|
identity, _ := h.KratosAdmin.GetIdentity(...)
|
|
// 2. 클레임 생성
|
|
sessionClaims := buildOidcClaimsFromTraits(...)
|
|
// 3. Hydra 승인 요청
|
|
acceptResp, _ := h.Hydra.AcceptConsentRequest(..., sessionClaims)
|
|
|
|
// 4. 리다이렉트 URL 반환 (화면 생략)
|
|
return c.JSON(acceptResp)
|
|
}
|
|
|
|
// ... 기존 화면 정보 반환 로직 ...
|
|
}
|
|
```
|
|
|
|
### 3.3. 즉시 리다이렉트 처리 (Frontend)
|
|
프론트엔드는 백엔드의 응답을 확인하여, 화면을 그릴지 아니면 바로 다른 페이지로 이동할지 결정합니다.
|
|
|
|
**[수정된 흐름]**
|
|
1. `ConsentScreen` 진입 시 `_fetchConsentInfo` 실행.
|
|
2. 백엔드 API(`GET /consent`) 호출.
|
|
3. 응답 데이터(`info`)에 `redirectTo` 필드가 있는지 확인.
|
|
4. **존재하는 경우:** `webWindow.redirectTo`를 통해 즉시 이동. (UI 렌더링 중단)
|
|
5. **없는 경우:** 받은 정보를 바탕으로 권한 동의 UI(체크박스, 버튼 등) 렌더링.
|
|
|
|
```dart
|
|
// userfront/lib/features/auth/presentation/consent_screen.dart
|
|
|
|
Future<void> _fetchConsentInfo() async {
|
|
final info = await AuthProxyService.getConsentInfo(...);
|
|
|
|
// [추가된 로직] 리다이렉트 URL 존재 시 즉시 이동
|
|
if (info['redirectTo'] != null) {
|
|
webWindow.redirectTo(info['redirectTo']);
|
|
return;
|
|
}
|
|
|
|
// ... UI 렌더링 준비 ...
|
|
}
|
|
```
|
|
|
|
## 4. 최종 동작 시나리오
|
|
|
|
1. **최초 로그인**:
|
|
* Hydra `skip: false` -> 백엔드가 화면 정보 반환 -> 프론트엔드가 Consent UI 노출 -> 사용자 동의 -> 백엔드가 `remember_for: 30일`로 승인 처리.
|
|
2. **재로그인 (30일 이내)**:
|
|
* Hydra `skip: true` 반환.
|
|
* 백엔드 `GetConsentRequest`가 이를 감지하고 내부적으로 `AcceptConsentRequest` 수행.
|
|
* 백엔드가 프론트엔드에 `{ "redirectTo": "https://gitea..." }` 응답.
|
|
* 프론트엔드는 화면을 그리지 않고 즉시 Gitea로 이동.
|
|
* **결과**: 사용자는 동의 화면을 보지 않고 로그인 완료.
|