🔑 OAuth · OIDC · JWT 인증 보안 실습OAuth · OIDC · JWT Auth Security Lab OAuth 2.0 · OIDC
모의 인증서버 OrbitAuth 에 OAuth 2.0·OIDC 요청을 직접 던져 redirect_uri 조작·state 부재·PKCE 부재·JWT alg 혼동·토큰 유출 등을 시험합니다. 각 위험은 공격 실행 → 취약/양호 판정 → 방어 적용 → 재점검 순서로, 방어(허용목록·PKCE·서명 검증·토큰 취급)를 켜면 같은 공격이 이번엔 막히는지 확인합니다. Send OAuth 2.0 / OIDC requests to a mock authorization server (OrbitAuth): redirect_uri manipulation, missing state, no PKCE, JWT alg confusion, token leakage, and more. Each risk runs attack → verdict → apply defense → re-check — watch the same attack get blocked once the defense (allowlist / PKCE / signature validation / token handling) is on.
교육용 시뮬레이션입니다. OrbitAuth 는 전부 이 페이지 안의 mock 이며 실제 인증서버 접속이나 토큰 발급은 전혀 없습니다.
위험 분류는 공개 기준(OAuth 2.0 Security BCP RFC 9700, OpenID Connect Core, JWT BCP RFC 8725)을 개념적으로 재구성했습니다. 등장하는 토큰·키는 모두 명백한 EXAMPLE 값입니다.
Educational simulation. OrbitAuth is a fully in-page mock — no real authorization server or token issuance. Risk taxonomy follows public guidance (OAuth 2.0 Security BCP RFC 9700, OpenID Connect Core, JWT BCP RFC 8725). All tokens and keys shown are obvious EXAMPLE values.
인증서버IdP idp.orbitauth.local·
클라이언트Client orbit-webapp (SPA)·
내 역할My role 공격자 사이트attacker site
⚠️ 교육용 시뮬레이션. 모든 요청은 페이지 안의 가상 인증서버에 대해서만 동작합니다. 공격 시연에는 반드시 방어 방법을 함께 둡니다. 실제 인증서버·계정을 대상으로 시험하지 마세요.
Educational simulation. Requests act only on the in-page mock IdP. Every attack is paired with its defense. Never test against real authorization servers or accounts.