파이썬과 JWT를 이용한 웹 애플리케이션에서의 권한 관리 방법

22 Sep 2023

python

웹 애플리케이션에서 권한 관리는 보안과 사용자 경험 측면에서 매우 중요합니다. 이 글에서는 파이썬과 JWT(JSON Web Token)를 사용하여 웹 애플리케이션의 권한 관리를 어떻게 수행할 수 있는지 알아보겠습니다.

JWT란 무엇인가요?

JWT는 사용자의 인증과 데이터 교환을 위한 인증 토큰 방식입니다. 토큰은 클라이언트와 서버 간의 인증 정보를 담고 있으며, 주로 사용자의 로그인 상태를 유지하기 위해 쓰입니다. JWT는 토큰 자체에 정보를 포함하고 있기 때문에 서버에서 별도의 세션 정보를 유지할 필요가 없습니다.

JWT를 이용한 권한 관리 구현 방법

로그인 기능 구현: 사용자가 웹 애플리케이션에 로그인하면 JWT 토큰을 생성합니다. 이때, 토큰에는 사용자의 식별자와 권한 정보 등이 포함될 수 있습니다.

 # JWT 토큰 생성 예시 (Python)
 import jwt

 def create_token(user_id, user_roles):
     payload = {
         'user_id': user_id,
         'roles': user_roles,
     }
     token = jwt.encode(payload, 'secret_key', algorithm='HS256')
     return token

인증 데코레이터 사용: 웹 애플리케이션의 API 엔드포인트에는 사용자의 권한을 확인하는 인증 데코레이터를 적용합니다. 이를 통해 로그인된 사용자만 해당 API를 호출할 수 있도록 제한할 수 있습니다.

 # 인증 데코레이터 예시 (Python - Flask)
 from functools import wraps
 from flask import request, jsonify

 def token_required(f):
     @wraps(f)
     def decorated(*args, **kwargs):
         token = request.headers.get('Authorization')

         if not token:
             return jsonify({'message': 'Token is missing'}), 401

         try:
             payload = jwt.decode(token, 'secret_key', algorithms=['HS256'])
         except (jwt.InvalidTokenError, jwt.DecodeError):
             return jsonify({'message': 'Invalid token'}), 401

         # 권한 확인 로직 추가

         return f(*args, **kwargs)

     return decorated

권한 확인: 인증 데코레이터 안에서 토큰에 포함된 사용자의 권한 정보를 확인하고, 해당 권한에 따라 액세스 제어를 수행합니다. 예를 들어, 특정 API 엔드포인트에 접근하기 위해서는 토큰에 ‘admin’ 권한이 필요하다고 가정해봅시다.

 # 권한 확인 예시
 def get_user_profile(user_id):
     user = User.query.get(user_id)

     if user.roles != 'admin':
         return jsonify({'message': 'Access denied'}), 403

     # 프로필 조회 로직

 @app.route('/profile', methods=['GET'])
 @token_required
 def profile():
     token = request.headers.get('Authorization')
     payload = jwt.decode(token, 'secret_key', algorithms=['HS256'])
     user_id = payload['user_id']

     return get_user_profile(user_id)

위의 방법을 통해서 JWT를 이용한 웹 애플리케이션에서의 권한 관리를 구현할 수 있습니다. JWT를 사용하면 간편하면서도 안전한 인증과 권한 관리가 가능하며, 개발자는 별도의 세션 관리 등에 신경 쓸 필요 없이 애플리케이션을 개발할 수 있습니다.

#WebDevelopment #Python