Staging to Prod 도메인 전환 후 OAuth redirect_uri_mismatch 터지는데 IDP Callback 수정 어디서 잡아줘야 하나요?

Question

안녕하세요. 이번에 서비스 스테이징에서 프로덕션 도메인으로 컷오버(Cutover) 진행 중인데, OAuth 2.0 인증 플로우 쪽에서 바로 redirect_uri_mismatch 에러를 뱉고 있습니다.

로그 확인해보니 App에서 Auth 서버로 보내는 authorization request의 redirect_uri 파라미터는 새로 변경된 Prod FQDN으로 정상 발송되고 있는데요. IDP(Identity Provider) 단에서 허용된 Callback URL(Allowed Redirect URIs) 목록 업데이트가 안 되어서 Mismatch 걸리는 상황 같습니다.

Okta나 Azure AD(Entra ID), Auth0 같은 IDP 콘솔에서 App Registration 설정 들어갔을 때, 기존 Staging URI에 추가로 Prod URI를 허용(Allow)해주려면 정확히 어느 메누/속성을 건드려야 할까요?

혹시 IDP 쪽 Console UI 수정 외에 Admin API나 Terraform / IaC 레벨에서 Allowed Callback URIs 프로비저닝할 때 주의해야 할 Edge case가 있을까요? (trailing slash 유무나 wildcard 처리 등)

동일 문제 경험하셨거나 IDP 구성 따로 관리하시는 분들 조언 부탁드립니다.

Answer 1

안녕하세요 Yuna Yoon.

공유해 주신 내용을 보면, 애플리케이션이 올바른 Production FQDN을 사용하여 요청을 보내고 있는데도 Identity Provider(IdP) 에서 redirect_uri_mismatch 오류를 반환하고 있다면, 새로운 Production Callback URL이 IdP의 애플리케이션에 등록된 Redirect URI 목록에 아직 추가되지 않았을 가능성이 높습니다.

Microsoft Entra ID (Azure AD) 를 사용하는 경우, 먼저 App Registration > Authentication 메뉴에서 애플리케이션의 설정을 확인하고, 정확한 Production Redirect URI가 등록되어 있는지 확인하는 것을 권장합니다. 특히 Protocol (http vs https), Hostname, Path, Port Number 및 Trailing Slash를 주의해서 확인해야 합니다. OAuth Provider는 Redirect URI를 정확한 문자열로 비교하기 때문에, 아주 작은 차이만 있어도 이 오류가 발생할 수 있습니다.

Okta의 경우 Sign-in Redirect URIs, Auth0의 경우 Allowed Callback URLs에서 유사한 설정을 확인할 수 있습니다. 일반적으로 Migration 또는 Transition 기간에는 Staging URL과 Production URL을 동시에 등록해 둘 수 있습니다.

구성이 Terraform 또는 다른 IaC(Infrastructure as Code) 플랫폼을 통해 관리되고 있다면, Redirect URI 변경 사항이 단순히 Source Control에 Commit된 것에 그치지 않고 실제로 IdP에 적용되었는지도 확인해야 합니다. Portal에서 수동으로 설정을 변경했더라도 이후 Terraform Deployment 과정에서 기존 설정으로 다시 적용되어 문제가 재발하는 경우가 있습니다.

또한 Identity Provider에서 명시적으로 지원하지 않는 한 Wildcard에 의존하고 있지 않은지도 확인하는 것이 좋습니다. 대부분의 최신 OAuth 구현에서는 보안상의 이유로 Callback URL을 명시적으로 등록하도록 요구합니다.

Best Practice로는 Browser에서 실제 Authorization Request에 전달되는 정확한 redirect_uri 값을 확인한 다음, 이를 IdP에 설정된 값과 문자 단위로 비교하는 것을 권장합니다. 대부분의 경우 이 두 값을 직접 비교하면 오류를 발생시키는 Redirect URI의 불일치 부분을 빠르게 찾을 수 있습니다.

이 답변이 문제를 해결하는 데 도움이 되었기를 바랍니다. 도움이 되었다면 “Accept Answer” 를 클릭해 주시면 답변이 문제 해결에 도움이 되었음을 확인할 수 있습니다.

Jason