OAuth2.0 서브도메인 토큰 발급

Question

안녕하세요.

사내 시스템을 개발중인데, 구성원 계정으로 인증 후 'Authorization Code' 발급까지는 완료했습니다.

그 이후, 토큰을 발급받기 위해 ajax 통신을 header, body 정보를 request 했는데 아래의 사진과 같이 CORS 정책에서 막혔습니다.

현재 개발중인 시스템은 서브 도메인이며, Authorization Code 발급 시에도 redirection_url은 서브 도메인을 넣고 domain은 메인 도메인을 넣어서 요청받았습니다.

개발 콘솔에서 새롭게 생성한 앱의 redirection url도 서브 도메인으로 추가했습니다.

혹시 서브 도메인은 토큰 발급이 안되는 것인지,

가능하다면 어떤 부분에서 잘못된 것인지 조언 부탁 드립니다.

* 통신에 필요한 정보는 아래와 같이 모두 잘 입력했습니다.

code	String	Y	Authorization Code (krMGMbsxGVdT4cpBg==)
grant_type	String	Y	authorization_code
client_id	String	Y	발급받은 앱의 client ID (*IXPWs7tOjRoJ*)
client_secret	String	Y	발급받은 앱의 client secret (88gJ1F)
domain	String	N	main.com

풀잎 · Answer

다시... 정정합니다..
401 코드가 떨어진 상태는 의도치 않게, Authorization Code 재사용 때문에 발생한 코드였습니다.
재사용하지 않으면 200 코드가 떨어지고있습니다...!

풀잎 · Answer

재연해보니.. 새롭게 로그인(Authorization Code)를 발급 받는 경우에는 200 코드가 떨어지고..
세션이 로그인된 상태에서는 401 코드가 떨어지네요.. 혹시 이 부분에서 조언을 얻을만한 부분이 있을지요~?

풀잎 · Answer

저 당시에는 200 코드가 떨어졌는데, 지금은 "401 Unauthorized" 코드가 떨어지고 있습니다.
도메인에 * 붙여서 그런건가..싶기도 하고.. 뭔가 인증이 안되는 느낌인데 어렵네요 ㅠㅠ!!

Steve_ · Answer

서브 도메인으로 Authorization Code를 이미 발급 받았다면, 서브 도메인도 사용 자체는 가능하지 않을까 조심스레 생각됩니다..
상태도 200 코드 떨어졌고..요청 URL이나 헤더값도 문제는 없어 보이긴하네요.

CORS 보안상 어떠한 정책에 위배되는거라.. 특정하기가 쉽지 않겠지만 아래와 같은 가이드들이 넷상에 많이 있으니 참고해서 적용해보세요. 화이팅입니다!
https://sisiblog.tistory.com/285

NAVER WORKS