10장. OAuth/OIDC 로그인

Authorization Code + PKCE, state, nonce, exact redirect URI를 쓴다. client secret은 서버에만 둔다. callback에서 code를 교환하고 issuer, audience, signature, expiry를 검증한다.

인증과 인가는 다르다. 로그인한 host가 다른 host의 클래스를 수정하지 못하게 resource ownership을 검사한다. provider 장애, 계정 연결, 탈퇴, session revoke, key rotation을 테스트한다.