페이스북 access_token에 대한 이해

페이스북 API를 이용한 앱을 만들때 사용자를 식별하고 해당 회원의 인증을 위해 access_token 을 사용합니다.

사용자가 해당 앱을 사용승인하면 access_token이 발급되는 것이죠.

서드파티 앱들은 이 access_token을 이용하여 담벼락에 글을 올리거나, 페이스북의 여러 기능들을 사용할 수 있습니다.

페이스북 access_token을 다룰때 참고해야할 것은 access_token이 유효기간을 가지고 있다는 것입니다.

과거에는 offline_access 라는 설정을 통해서

유효기간이 없는 영구한 엑세스토큰을 발급받을 수 있었는데 지금은 이것이 되지 않습니다.

참 아쉽죠.

Oauth2 방식의 인증의 특징이기도 합니다.

일반적으로 여러분들이 페이스북의 SDK를 통해 사용자의 인증을 받았다면

2개월 짜리의 엑세스토큰을 발급받게 됩니다.

페이스북의 SDK를 이용해서 해당 액세스토큰의 유효기간이 언제까지인지 확인할 수 있습니다.

또는 Facebook Debugger 도구를 이용해서 확인할수도 있습니다.

엑세스토큰이 그렇다고 2개월간 반드시 유효하지도 않습니다.

페이스북은 다음과 같은 경우에 기존에 발급된 엑세스토큰에 대해서 다시 처리를해야한다고 말하고 있습니다.

사용자가 비밀번호를 변경하였을때,

앱의 승인을 취소했을때, 또는 로그아웃했을때

즉 토큰이 만료가 되는 4가지의 시나리오를 염두하셔야 합니다.

1. 정해진 만료시간이 지났을때

2. 사용자가 비밀번호를 변경하였을때

3. 사용자가 앱의 인증을 취소했을때

4. 페이스북에서 로그아웃을 했을때

좀 더 상세한 내용은 아래 포스팅에서 확인할 수 있습니다.

Removal of offline_access permission

How-To: Handle expired access tokens