[python] Peewee의 보안 고려 사항

29 Nov 2023

python

Peewee는 Python에서 사용할 수 있는 가벼운 ORM(Object Relational Mapping) 라이브러리입니다. 이를 사용하면 간편하게 데이터베이스와 상호 작용할 수 있습니다. 그러나 데이터베이스와 상호 작용하는 과정에서 보안에 관련된 몇 가지 고려 사항이 있습니다.

1. SQL Injection 방지

Peewee는 기본적으로 SQL Injection을 방지하기 위해 Prepared Statements를 사용합니다. Prepared Statements는 쿼리에 사용되는 매개 변수를 사전에 컴파일하여 쿼리 실행 시점에 값을 바인딩함으로써 SQL Injection을 방지합니다. 이를 사용함으로써 악의적인 사용자가 쿼리에 악성 코드를 삽입하는 것을 방지할 수 있습니다.

from peewee import *

database = SqliteDatabase('my_database.db')
    
class User(Model):
    username = CharField()
    password = CharField()

    class Meta:
        database = database

# 사용자 정보를 저장할 때는 Prepared Statements 방식으로 저장
username = "john"
password = "password"

User.create(username=username, password=password)

2. 데이터 유효성 검증

Peewee는 데이터 유효성 검사를 위한 다양한 유효성 검사기를 제공합니다. 이를 사용하여 사용자가 입력한 데이터의 유효성을 검사할 수 있습니다. 예를 들어, 필드에 최소 길이, 최대 길이 또는 특정 형식과 같은 제약 조건을 추가할 수 있습니다.

from peewee import *

database = SqliteDatabase('my_database.db')
    
class User(Model):
    username = CharField(max_length=50, unique=True)
    password = CharField(min_length=8)

    class Meta:
        database = database
        
# 유효성 검사 후 사용자 정보를 저장
username = "john"
password = "password"

if User(username=username, password=password).validate():
    User.create(username=username, password=password)
else:
    print("유효하지 않은 데이터입니다.")

3. 암호화된 비밀번호 저장

보안을 위해서는 사용자의 비밀번호를 암호화하여 저장해야 합니다. Peewee는 암호화를 위한 다양한 라이브러리와 통합이 가능합니다. 가장 일반적인 예로 bcrypt를 사용할 수 있습니다.

import bcrypt
from peewee import *

database = SqliteDatabase('my_database.db')
    
class User(Model):
    username = CharField()
    password = CharField()

    class Meta:
        database = database

# 사용자 정보를 저장할 때 비밀번호를 암호화
username = "john"
password = "password"

hashed_password = bcrypt.hashpw(password.encode('utf-8'), bcrypt.gensalt())
User.create(username=username, password=hashed_password)

Peewee를 사용하면 데이터베이스와 손쉽게 상호 작용할 수 있지만, 보안에 대한 고려가 필요합니다. 위에서 언급한 방법들을 통해 Peewee를 안전하게 사용할 수 있습니다.

참고 자료: