[파이썬] RESTful API를 위한 보안 처리

04 Sep 2023

python

API 보안은 현대 웹 어플리케이션에서 매우 중요한 측면입니다. API를 사용한 서비스는 사용자 인증, 데이터 암호화, 사용 권한 관리 등의 보안 기능을 구현해야 합니다. 이 블로그 포스트에서는 Python을 사용하여 RESTful API를 보호하는 몇 가지 일반적인 보안 기법을 알아보겠습니다.

1. HTTPS를 통한 통신

API 서버와 클라이언트 간의 통신은 항상 HTTPS를 사용해야 합니다. HTTPS는 보안 소켓 계층(SSL)을 통해 암호화된 연결을 제공하여 데이터의 안전한 전송을 보장합니다. Python에서는 Flask 나 Django와 같은 웹 프레임워크를 사용하여 HTTPS 서버를 설정할 수 있습니다.

예를 들어, Flask를 사용하여 HTTPS 서버를 설정하는 방법은 다음과 같습니다:

from flask import Flask

app = Flask(__name__)

if __name__ == "__main__":
    app.run(ssl_context=('cert.pem', 'key.pem'))

위의 예제에서 ‘cert.pem’과 ‘key.pem’은 SSL 인증서와 개인 키 파일의 경로를 나타냅니다. 이외에도 Flask 설정을 통해 HTTPS를 사용하는 방법에 대해서는 Flask 공식 문서를 참조하세요.

2. 사용자 인증 및 권한 부여

API를 사용하기 전에 클라이언트의 신원을 확인하고 인증 절차를 거칠 필요가 있습니다. 유효한 사용자 인증 정보가 제공되지 않았을 경우, API는 요청을 거부해야 합니다. 일반적인 사용자 인증 방법으로는 토큰 기반 인증이 널리 사용됩니다.

예를 들어, Flask를 사용하여 JWT(JSON Web Token) 기반 사용자 인증을 구현하는 방법은 다음과 같습니다:

from flask import Flask, request, jsonify
import jwt

app = Flask(__name__)

@app.route("/login", methods=["POST"])
def login():
    # 클라이언트에서 전달된 사용자 인증 정보 확인
    username = request.json.get("username")
    password = request.json.get("password")
    
    # 사용자 인증 절차 수행
    if username == "admin" and password == "admin123":
        # 토큰 생성
        token = jwt.encode({"username": username}, "secret_key", algorithm="HS256").decode("utf-8")
        return jsonify({"token": token})
    
    return jsonify({"error": "Invalid username or password"}), 401

@app.route("/protected", methods=["GET"])
def protected_resource():
    # 헤더에서 토큰 추출
    token = request.headers.get("Authorization").split("Bearer ")[1]
    
    try:
        # 토큰 유효성 검사
        payload = jwt.decode(token, "secret_key", algorithms=["HS256"])
        username = payload["username"]
        return f"Hello, {username}!"
    except jwt.ExpiredSignatureError:
        return jsonify({"error": "Token has expired"}), 401
    except jwt.InvalidTokenError:
        return jsonify({"error": "Invalid token"}), 401

if __name__ == "__main__":
    app.run()

위의 예제에서 /login 엔드포인트는 사용자 인증을 처리하고, 유효한 인증 정보가 제공되면 JWT를 생성하여 클라이언트에 반환합니다. /protected 엔드포인트에서는 클라이언트에게 제공된 JWT의 유효성을 검사하고, 유효한 경우 보호된 리소스에 접근허용합니다.

3. 데이터 검증 및 필터링

API의 입력 데이터는 항상 유효성을 검사하고, 악의적인 데이터나 취약한 데이터를 걸러내야 합니다. 이를 통해 SQL 인젝션, 크로스 사이트 스크립팅(XSS), 그리고 다른 데이터 유출 공격을 방지하는 것이 가능합니다.

예를 들어, Flask를 사용하여 데이터 검증 및 필터링을 적용하는 방법은 다음과 같습니다:

from flask import Flask, request, jsonify
import re

app = Flask(__name__)

@app.route("/users", methods=["POST"])
def create_user():
    # 클라이언트에서 전달된 사용자 이름 확인
    username = request.json.get("username")
    
    # 사용자 이름 데이터 검증 및 필터링
    if not re.match("^[a-zA-Z0-9_-]{3,20}$", username):
        return jsonify({"error": "Invalid username"}), 400
    
    # 사용자 생성 로직 수행
    # ...
    
    return jsonify({"message": "User created successfully"}), 201

if __name__ == "__main__":
    app.run()

위의 예제에서 /users 엔드포인트는 클라이언트에서 제공된 사용자 이름의 유효성을 검증하고, 유효하지 않은 경우 에러를 반환합니다. 이 예제에서는 정규표현식을 사용하여 사용자 이름이 알파벳, 숫자, 대시, 밑줄로 구성되고 길이가 3에서 20 사이인지를 확인합니다.

결론

RESTful API를 보호하기 위한 보안 처리는 반드시 고려해야 하는 중요한 부분입니다. 이 블로그 포스트에서는 HTTPS를 통한 통신, 사용자 인증 및 권한 부여, 데이터 검증 및 필터링에 대해 알아보았습니다. 이러한 기술들을 조합하여 안전한 API를 구축하고 안전한 데이터 통신을 보장할 수 있습니다.