OIDC의 nonce와 OAuth state는 각각 어떤 응답·세션에 묶이며 서로를 대체할 수 있나요?

꼬리 질문을 독립 문항으로 확장했습니다. 원래 문항에서 맥락 보기 →

잠깐, 답변을 보기 전에
먼저 내 말로 설명해 볼까요?

답변과 점검 포인트 펼치기답변 접기

구두 답변

정의를 외우기보다, 원리와 조건을 연결해 설명해 보세요.

state는 요청과 callback의 연결·CSRF 방어에 사용되고 nonce는 OIDC ID token을 해당 인증 요청과 연결해 재생·혼동을 줄이는 역할입니다. PKCE·issuer·audience 검증과 서로 대체하지 않습니다.

서버가 발급한 일회성 transaction에 값·사용자 세션·기한을 묶고 callback에서 소비합니다. token의 nonce와 원래 값을 검증하며 다중 IdP·탭·응답 유실을 시험합니다.

이해가 드러나는 지점을 확인해 보세요.

state는 요청과 callback의 연결·CSRF 방어에 사용되고 nonce는 OIDC ID token을 해당 인증 요청과 연결해 재생·혼동을 줄이는 역할입니다. PKCE·issuer·audience 검증과 서로 대체하지 않습니다.
token의 nonce와 원래 값을 검증하며 다중 IdP·탭·응답 유실을 시험합니다.

놓치기 쉬운 조건과 오해를 짚어 보세요.

다음 핵심 구분을 반대로 설명하거나 성립 조건을 생략한다: state는 요청과 callback의 연결·CSRF 방어에 사용되고 nonce는 OIDC ID token을 해당 인증 요청과 연결해 재생·혼동을 줄이는 역할입니다.

하나 더 질문하며 이해의 범위를 넓혀 보세요.

득점·감점 포인트는 학습용 자기 점검 기준이며, 특정 회사의 실제 채점표가 아닙니다.

답변을 보충하는 개념·예제·슈도코드를 읽어 보세요.