PHP 온라인 강의

 > 

PHP - 고급

📚 PHP 고급 - 5주차: RESTful API 보안 및 인증 - 01 API 키, 토큰 기반 인증 (JWT)

RESTful API 보안의 필요성

오늘날 대부분의 웹 서비스는 RESTful API를 통해 데이터를 주고받는다. 이 과정에서 중요한 사용자 정보나 민감한 데이터가 노출될 수 있어, #API보안 은 필수적이다. 특히 #인증 과 #인가 는 보안의 핵심으로, 사용자가 누구인지 확인하고 (인증), 그 사용자가 특정 자원에 접근할 권한이 있는지 (인가) 검증하는 과정이다.

1. API 키를 이용한 인증

가장 기본적인 API 보안 방식 중 하나는 #API키 를 사용하는 것이다. API 키는 서비스에 접근하기 위해 클라이언트에게 발급되는 고유한 문자열이다. 마치 건물의 열쇠와 같다고 볼 수 있다.

장점

• 구현이 매우 간단하고 직관적이다.

• 소규모 서비스나 비공개 데이터에 대한 접근 제한에 적합하다.

단점

• 보안에 취약하다.

• 키가 노출되면 누구나 해당 API를 사용할 수 있다.

• 일반적으로 URL 파라미터나 헤더에 포함되어 전송되는데, 이 과정에서 스니핑(sniffing) 공격에 노출될 수 있다.

• 키 관리 및 갱신이 번거롭다.

2. 토큰 기반 인증 (JWT)

API 키의 한계를 극복하기 위해 나온 것이 #토큰 기반 인증 방식이다. 가장 널리 사용되는 토큰은 #JWT (JSON Web Token)이다. JWT는 사용자 정보를 포함하는 #토큰 을 발행하여 인증에 사용한다.

JWT의 구조

JWT는 세 부분으로 구성된다.

• 헤더 (Header): 토큰의 타입과 해시 알고리즘 정보가 들어있다.

• 페이로드 (Payload): 사용자 정보, 권한 등 실질적인 내용이 담겨있다. #클레임 이라고도 부른다.

• 시그니처 (Signature): 헤더와 페이로드를 서버의 #비밀키 로 서명한 값이다. 이를 통해 토큰이 위변조되지 않았음을 검증할 수 있다.

JWT 인증 과정

1. 로그인 요청: 사용자가 아이디와 비밀번호로 로그인한다.

2. 토큰 발행: 서버는 사용자 정보를 검증한 후, JWT를 생성하여 클라이언트에 보낸다.

3. 토큰 저장: 클라이언트는 받은 토큰을 저장한다. (예: 로컬 스토리지, 쿠키)

4. API 요청: 이후 클라이언트는 API 요청 시마다 HTTP 헤더의 Authorization 필드에 토큰을 담아 보낸다. (예: Authorization: Bearer <token>)

5. 토큰 검증: 서버는 받은 토큰의 유효성을 검사하고, 유효한 경우 요청을 처리한다. 시그니처를 확인하여 토큰이 변조되지 않았는지, 유효 기간이 지나지 않았는지 등을 검증한다.

장점

• #확장성 이 뛰어나다.

• 여러 서버에 부하를 분산하는 #분산시스템 에서 특히 유리하다.

• 서버에 #세션 을 저장할 필요가 없어 #무상태 (stateless) 구조를 유지할 수 있다.

• 보안성이 높다. 비밀키가 노출되지 않는 한 토큰 위변조가 어렵다.

단점

• 토큰의 길이가 길어 네트워크 부하가 약간 증가할 수 있다.

• 토큰이 탈취될 경우, 유효 기간이 끝날 때까지 무방비 상태가 될 수 있다.

• 이를 보완하기 위해 #리프레시토큰 (Refresh Token)과 같은 추가적인 전략이 필요하다.

요약 및 결론

API 키는 간단하고 빠르게 구현할 수 있지만, 보안에 취약하다. 반면, #JWT 는 구현이 다소 복잡하지만, 높은 보안성과 확장성을 제공하여 현대적인 웹 서비스에 더 적합하다. 다음 시간에는 실제로 #PHP 에서 JWT를 구현하는 방법을 알아보겠다.

API보안 인증 인가 API키 토큰 JWT JSONWebToken 클레임 비밀키 확장성 분산시스템 세션 무상태 리프레시토큰 PHP

50만개 IP를 보유! 사용이력 없는 IP제공 간편사용 무료테스트 OK

https://vpn.luzensoft.com