[python] FastAPI에서 인증 토큰의 보안 강화하기

01 Dec 2023

python

FastAPI는 강력하고 효율적인 웹 프레임워크입니다. 그러나 웹 애플리케이션에서 인증과 보안은 매우 중요한 요소입니다. 이번 블로그 포스트에서는 FastAPI에서 인증 토큰의 보안을 강화하는 방법에 대해 알아보겠습니다.

1. HTTPS를 사용해 통신 보안 강화하기

HTTPS는 통신 과정에서 전송되는 데이터를 암호화하여 보호하는 프로토콜입니다. FastAPI 애플리케이션을 작성할 때 HTTPS를 사용하도록 설정하여 통신 보안을 강화하는 것이 좋습니다. 이를 위해 SSL/TLS 인증서를 구매하고 서버에 적용하는 방법을 채택할 수 있습니다.

2. JWT(JSON Web Tokens) 사용하기

JWT는 인증 정보를 안전하게 전송하기 위한 표준 방법입니다. FastAPI에서 JWT를 사용하여 인증 토큰의 보안을 강화할 수 있습니다. JWT는 서명된 토큰으로, 토큰 자체가 인증 정보를 포함하고 있으며 변조가 불가능한 형태로 전달됩니다.

FastAPI는 PyJWT 라이브러리를 사용하여 JWT를 쉽게 구현할 수 있습니다. 사용자의 인증 정보를 JWT 형식으로 매번 포함하여 API 엔드포인트에서 검증하도록 구현할 수 있습니다.

import jwt
from fastapi import Depends, HTTPException, status
from fastapi.security import OAuth2PasswordBearer
from jwt import PyJWTError

oauth2_scheme = OAuth2PasswordBearer(tokenUrl="token")

async def get_current_user(token: str = Depends(oauth2_scheme)):
    try:
        payload = jwt.decode(token, "SECRET_KEY", algorithms=["HS256"])
        username: str = payload.get("sub")
        if username is None:
            raise HTTPException(
                    status_code=status.HTTP_401_UNAUTHORIZED,
                    detail="Invalid authentication credentials",
                    headers={"WWW-Authenticate": "Bearer"},
                )
        # 사용자 정보 가져오기 및 인증 처리
        # ...
    except PyJWTError:
        raise HTTPException(
                status_code=status.HTTP_401_UNAUTHORIZED,
                detail="Invalid authentication credentials",
                headers={"WWW-Authenticate": "Bearer"},
            )

3. API 라우팅에 권한 설정하기

FastAPI는 데코레이터를 사용하여 엔드포인트에 권한 설정을 쉽게할 수 있습니다. 엔드포인트 함수 위에 @app.route() 데코레이터를 사용하여 특정 권한이 있는 사용자만 접근 가능하도록 지정할 수 있습니다.

from fastapi import FastAPI, Depends
from fastapi.security import OAuth2PasswordRequestForm

app = FastAPI()

@app.post("/login")
def login(form_data: OAuth2PasswordRequestForm = Depends()):
    # 사용자 인증 로직 처리
    # ...

@app.get("/protected")
async def protected_route(current_user=Depends(get_current_user)):
    # 권한이 있는 사용자만 접근 가능한 코드
    # ...

결론

FastAPI에서 인증 토큰의 보안을 강화하는 방법을 알아보았습니다. HTTPS를 사용하고 JWT를 활용하며 API 엔드포인트에 권한 설정을 추가하는 것은 FastAPI 애플리케이션의 보안을 향상시키는 좋은 방법입니다. 개발자는 고객의 데이터를 안전하게 보호하고 웹 애플리케이션에 대한 신뢰도를 높일 수 있습니다.