Q. Google OAuth drive.file 사용 시 Production 전환·서버 refresh token 정책 문의

답변 2

• 

  전문상담HL 디앤아이한라

  코이사 ∙ 채택률 63%

  ---

  안녕하세요, 성실히 답변드리겠습니다. 채택바랍니다. 1. Scope 비민감 (scope만 ) > OAuth 검증 불필요, 프로덕션 전환시 구글 검증 생략 가능 2. 서버에 리프레시 토큰 저장 > 서버가 사용자 대신 API 호출 가능 > 허용됨 , 단 보안 및 암호화 필수 3. 비 로그인 제 3자가 제출 > 서버가 드라이브에 저장 Oauth 원칙상 사용자 직접 동의가 필요한 범위를 우회하는 구조로 간주될 수 있음 사용자 Consent없이 제3자 데이터를 쓰는 건 간접 접근으로 정책 위반 가능성 있음 즉 서버에서 사용자의 리프레시 토큰으로 직접 파일 쓰기는 가능하지만, 사용자 동의 없이 다른 사람 데이터를 대신 쓰는건 주의 필수입니다.

  ---
• 

  프로답변러YTN

  코부사장 ∙ 채택률 85%

  ---

  멘티님 drive.file 스코프는 민감하거나 제한된 스코프가 아니므로 까다로운 보안 심사나 3등급 검증 없이 기본적인 브랜드 검증만 거치면 문제없이 프로덕션 전환이 가능합니다. Next.js 서버에 리프레시 토큰을 안전하게 저장하여 오프라인 액세스로 활용하는 것은 구글이 권장하는 표준 인증 방식이므로 정책상 완벽하게 허용됩니다. 또한 제3자의 입력값을 서버가 처리해 토큰 소유자의 드라이브에 저장하는 로직 역시 사용자가 앱에 파일 생성을 위임한 정상적인 서비스 동작이므로 정책 위반이 아닌 올바른 설계입니다. 현재 구상하신 아키텍처는 기술적으로나 정책적으로나 아무런 문제가 없으니 안심하고 그대로 개발하시면 됩니다. 채택부탁드리며 파이팅입니다!

  ---

  ---

  댓글 2

  포

  포테토칩00

  작성자

  2026.01.07

  추가로 한 가지만 여쭙고 싶습니다. 로그인한 사용자의 Google OAuth refresh token(Drive 접근 권한) 을 URL 파라미터로 암호화/서명하여 제3자(비로그인 유저)에게 전달하고, 서버가 이를 복호화해 drive.file 스코프로 해당 사용자의 Drive에 파일을 생성·수정하는 구조는 OAuth 정책상 토큰 공유/간접 접근으로 간주되어 문제가 될 수 있는지, 아니면 정상적인 위임 동작으로 허용되는지 궁금합니다..!

  포

  포테토칩00

  작성자

  2026.01.09

  이 부분에서는 답변이 어려우실까요..? ㅠㅠ