[python] Django REST framework에서의 인증과 권한 관리

29 Nov 2023

python

Django REST framework은 강력한 인증 및 권한 관리 기능을 제공하여 API 보안을 강화할 수 있습니다. 이 기능들은 애플리케이션의 사용자 인증 및 권한 부여 메커니즘을 간편하게 구현할 수 있도록 해주며, 다양한 인증 및 권한 방식을 지원합니다.

인증(Authentication) 기능

인증은 사용자가 API에 접근할 때 신원을 확인하는 과정입니다. Django REST framework은 다양한 인증 방식을 지원하고 있습니다. 몇 가지 일반적인 인증 방식은 다음과 같습니다.

Session 인증: 기본적인 웹 애플리케이션 인증 방식으로, Django의 세션 인증 시스템을 사용합니다. 클라이언트가 로그인하면 서버는 세션 ID를 발급하고 이를 쿠키에 저장하여 클라이언트에게 전달합니다. 클라이언트는 이 세션 ID를 사용하여 API에 접근할 수 있습니다.
Token 인증: API 클라이언트에게 발급된 토큰을 사용하여 인증하는 방식입니다. 클라이언트는 토큰을 HTTP 요청 헤더에 포함시켜 보내고, 서버는 해당 토큰을 검증하여 사용자 신원을 확인합니다.
JWT 인증: JSON Web Token(JWT)을 사용하여 인증하는 방식입니다. 클라이언트는 JWT를 발급받고, 이를 HTTP 요청 헤더에 포함시켜 보냅니다. 서버는 JWT를 검증하여 사용자를 인증합니다.

인증 방식은 Django REST framework의 설정 파일인 settings.py에서 지정할 수 있으며, 각각의 인증 방식에 맞는 인증 클래스를 추가로 설정해야 합니다.

권한(Permission) 관리

권한은 인증된 사용자가 허용된 작업을 수행할 수 있는지 여부를 결정합니다. Django REST framework은 다양한 권한 클래스를 제공하고 있습니다. 몇 가지 일반적인 권한 클래스 예시는 다음과 같습니다.

IsAuthenticated: 인증된 사용자만 API에 접근할 수 있습니다.
AllowAny: 모든 사용자가 API에 접근할 수 있습니다.
IsAdminUser: 관리자 권한을 가진 사용자만 API에 접근할 수 있습니다.
IsAuthenticatedOrReadOnly: 인증된 사용자는 API를 수정할 수 있지만, 인증되지 않은 사용자는 읽기 전용으로 접근할 수 있습니다.

권한 클래스는 Django REST framework의 뷰(view) 데코레이터나 클래스 기반 뷰에서 사용할 수 있습니다. 각각의 뷰에서 필요한 권한 클래스를 설정하여, 해당 뷰에서 어떤 작업을 허용할지 결정할 수 있습니다.

from rest_framework.permissions import IsAuthenticated
from rest_framework.decorators import api_view, permission_classes

@api_view(['GET'])
@permission_classes([IsAuthenticated])
def my_view(request):
    # 이 뷰는 인증된 사용자만 접근할 수 있습니다.
    # 로직 구현...

결론

Django REST framework은 사용자 인증과 권한 관리를 간편하게 구현할 수 있도록 다양한 기능과 설정 옵션을 제공합니다. 애플리케이션의 보안 요구 사항에 맞게 인증 방식과 권한을 설정하여, 안전하고 신뢰할 수 있는 API 서비스를 구현할 수 있습니다.

더 자세한 내용은 Django REST framework 공식 문서를 참고하세요.
https://www.django-rest-framework.org/