[python] 웹 보안을 위한 사용자 인증과 권한 부여

05 Dec 2023

python

웹 애플리케이션에서 사용자 인증과 권한 부여는 매우 중요한 요소입니다. 이를 통해 애플리케이션의 보안 수준을 향상시킬 수 있습니다. 이번 글에서는 Python을 사용하여 웹 보안을 강화하기 위한 사용자 인증과 권한 부여에 대해 알아보겠습니다.

사용자 인증

사용자 인증은 사용자가 애플리케이션에 접근할 때 신원을 확인하는 과정입니다. 사용자 인증을 위해 가장 일반적으로 사용되는 방법은 아이디와 패스워드를 사용하는 것입니다.

Flask 프레임워크를 사용한 경우, Flask-Login이라는 라이브러리를 활용하여 사용자 인증을 간단하게 구현할 수 있습니다. Flask-Login을 이용하면 사용자 세션 관리와 관련된 작업을 편리하게 처리할 수 있습니다.

아래는 Flask-Login을 사용한 사용자 로그인 기능의 예제입니다.

from flask import Flask, render_template, redirect, url_for, request
from flask_login import LoginManager, login_user, logout_user, login_required, UserMixin

app = Flask(__name__)
app.secret_key = 'your_secret_key'

login_manager = LoginManager()
login_manager.init_app(app)

# 사용자 데이터를 저장할 가상의 데이터베이스
users = {'admin': {'password': 'admin'}}

class User(UserMixin):
    pass

@login_manager.user_loader
def user_loader(username):
    if username not in users:
        return

    user = User()
    user.id = username
    return user

@app.route('/login', methods=['GET', 'POST'])
def login():
    if request.method == 'POST':
        username = request.form['username']
        password = request.form['password']
        
        if username in users and password == users[username]['password']:
            user = User()
            user.id = username
            login_user(user)
            return redirect(url_for('protected'))
        
        return '잘못된 아이디 또는 패스워드입니다.'
    
    return render_template('login.html')

@app.route('/logout')
@login_required
def logout():
    logout_user()
    return redirect(url_for('login'))

@app.route('/protected')
@login_required
def protected():
    return '로그인이 성공했습니다!'

if __name__ == '__main__':
    app.run()

위 코드에서는 /login 엔드포인트를 통해 사용자 로그인을 처리하고, /logout 엔드포인트를 통해 로그아웃을 처리합니다. /protected 엔드포인트는 @login_required 데코레이터를 통해 로그인이 필요한 페이지로 설정되어 있습니다.

권한 부여

사용자 인증 이후에는 각 사용자에게 애플리케이션의 특정 기능 또는 데이터에 대한 권한을 부여해야 합니다. 이를 통해 사용자가 부여된 권한에 따라 일부 기능이나 정보에 접근할 수 있도록 제어할 수 있습니다.

권한 부여를 위해 데이터베이스에 사용자 권한을 저장하고, 사용자 ID와 매칭하여 권한을 체크하는 방법을 사용할 수 있습니다.

권한 부여의 예제 코드는 다음과 같습니다.

from flask import Flask, render_template
from flask_login import LoginManager, login_required, current_user

app = Flask(__name__)
app.secret_key = 'your_secret_key'

login_manager = LoginManager()
login_manager.init_app(app)

# 사용자 데이터를 저장할 가상의 데이터베이스
users = {'admin': {'password': 'admin', 'role': 'admin'},
         'user1': {'password': 'user1', 'role': 'user'},
         'user2': {'password': 'user2', 'role': 'user'}}

class User():
    def __init__(self, user_dict):
        self.__dict__ = user_dict

@login_manager.user_loader
def user_loader(username):
    if username not in users:
        return

    return User(users[username])

@app.route('/')
def home():
    return '홈 페이지입니다.'

@app.route('/admin')
@login_required
def admin():
    if current_user.role != 'admin':
        return '접근 권한이 없습니다.'

    return '관리자 페이지입니다.'

@app.route('/user')
@login_required
def user():
    return '사용자 페이지입니다.'

if __name__ == '__main__':
    app.run()

위 코드에서는 /admin 엔드포인트에는 ‘admin’ 권한을 가진 사용자만 접근할 수 있도록 설정되어 있습니다. /user 엔드포인트는 ‘admin’ 권한과 ‘user’ 권한을 가진 모든 사용자가 접근할 수 있습니다.

결론

웹 애플리케이션에서 사용자 인증과 권한 부여는 보안을 강화하는 핵심 요소입니다. Python을 사용하여 Flask 프레임워크와 Flask-Login 라이브러리를 활용하여 사용자 인증과 권한 부여를 간단하게 구현할 수 있습니다.

참고자료: