인증·인가 Auth

쉽게 말하면

Auth는 사실 두 가지를 합쳐 부르는 말이에요. 인증(Authentication) 은 "당신이 당신임을 증명하는 것" — 아이디와 비밀번호를 넣거나 Google로 로그인하는 거죠. 인가(Authorization) 는 "당신이 무엇을 할 수 있는지 정하는 것" — 예를 들어 일반 사용자는 관리자 페이지에 들어갈 수 없어요.

로그인에 성공하면 시스템은 당신에게 '통행증'(토큰 또는 세션)을 발급해요. 이후 요청마다 그걸 지니고 다니면, 시스템은 비밀번호를 다시 묻지 않고도 당신인 줄 압니다. 이 통행증은 유효 기간이 있어야 하고 취소할 수 있어야 해요. 그렇지 않으면 도난당했을 때 위험합니다.

아키텍처

동작 흐름

진짜로 유출을 부르는 실수

Auth 재앙의 대부분은 별난 게 아니라, 거듭 나타나는 몇 가지 실수에서 비롯돼요.

• 프론트엔드의 검사를 믿는다 — 관리자 버튼만 숨겨 두고 백엔드 엔드포인트는 열려 있어, 직접 호출하면 누구든 들어갈 수 있어요.
• 토큰에 기한이 없고 취소도 못 한다 — 도난당한 통행증이 그 길로 영원히 유효해져요.
• 비밀번호를 평문으로 저장한다 — 데이터베이스가 한 번 새면 모든 계정이 동시에 드러나요(비밀번호는 해시 처리해야 해요).
• 어느 한 엔드포인트에서 인가 검사를 빠뜨린다 — "당신에게 허락됐는가"를 묻지 않는 경로가 하나만 있어도 공격자에겐 충분해요.

핵심 정리

• Auth = 인증(당신이 누구인지) + 인가(무엇을 할 수 있는지).
• 로그인 후에는 토큰 / 세션을 통행증으로 쓴다 — 유효 기간과 취소 수단을 갖춰서.
• 인가 검사는 반드시 백엔드에서. 프론트엔드에서 버튼을 숨기는 건 보안이 아니다.