인가 요청
client id, callback URL, scope, state를 맞춰 provider 로그인 화면으로 이동합니다.
OAuth Callback
OAuth provider profile 매핑
GoogleStrategy의 callback에서 외부 계정 식별자, 이메일 검증 상태, 기존 사용자 연결 정책을 분리해 중복 가입과 탈취 위험을 줄입니다.
프로필 수신
authorization code 교환 뒤 Google profile의 provider id와 email_verified를 확인합니다.
계정 연결
동일 이메일 자동 연결 여부와 providerAccount 테이블의 unique key를 명확히 둡니다.
내부 세션
소셜 인증 성공 뒤에는 자체 JWT나 서버 세션으로 애플리케이션 권한을 관리합니다.