[go] Go 언어를 사용한 RESTful API의 보안 취약점 방지 방법

07 Dec 2023

RESTful API는 현대 웹 애플리케이션에서 매우 중요한 역할을 합니다. 하지만, 이런 API들은 보안 취약점에 노출될 수 있기 때문에 적절한 보안 조치가 필요합니다. 이번 블로그 포스트에서는 Go 언어를 사용하여 개발된 RESTful API에서의 일반적인 보안 취약점을 방지하기 위한 방법에 대해 알아보겠습니다.

1. Input Validation

입력 유효성 검사는 모든 API 요청에 대해 중요한 부분입니다. 입력 데이터를 신뢰하지 않고 항상 유효성을 검사해야 합니다. 이를 위해 Go 언어는 다양한 유효성 검사 라이브러리를 제공하고 있습니다. 예를 들어, validator 라이브러리는 구조체의 필드에 대한 유효성 검사를 쉽게 할 수 있도록 도와줍니다.

type User struct {
    Name  string  `validate:"required"`
    Email string  `validate:"required,email"`
}

func CreateUser(user User) error {
    validate := validator.New()
    if err := validate.Struct(user); err != nil {
        return err
    }
    // 유효성 검사 통과 후 사용자 생성 로직
    return nil
}

위의 예시에서 validate.Struct(user)를 호출하여 User 구조체의 유효성을 검사한 후, 유효하지 않은 경우 에러를 반환합니다. 이를 통해 사용자 입력 데이터의 유효성을 확인할 수 있습니다.

2. Authentication과 Authorization

API 보안의 또 다른 중요한 측면은 사용자 인증 및 권한 부여입니다. API 요청을 수행하는 사용자가 실제로 인증된 사용자인지 확인해야 합니다. Go 언어에서는 JWT와 같은 토큰 기반의 인증 방식을 사용할 수 있습니다. JWT는 사용자 인증 정보를 안전하게 전달하고 검증할 수 있는 방법을 제공합니다.

func Login(username, password string) (string, error) {
    // 사용자 인증 로직
    
    // 유효한 사용자인 경우, JWT 토큰 생성 및 반환
    token := jwt.New(jwt.SigningMethodHS256)

    claims := token.Claims.(jwt.MapClaims)
    claims["username"] = username
    claims["exp"] = time.Now().Add(time.Hour * 24).Unix()

    tokenString, err := token.SignedString([]byte("secret"))
    if err != nil {
        return "", err
    }

    return tokenString, nil
}

func ProtectedRoute(w http.ResponseWriter, r *http.Request) {
    // 인증 미들웨어로 헤더에 포함된 토큰의 유효성 검사
    tokenString := r.Header.Get("Authorization")
    token, err := jwt.Parse(tokenString, func(token *jwt.Token) (interface{}, error) {
        return []byte("secret"), nil
    })
    if err != nil || !token.Valid {
        http.Error(w, "Unauthorized", http.StatusUnauthorized)
        return
    }
    // 인증 통과 후 API 요청 처리
}

위의 예시에서 Login 함수는 전달된 사용자 이름과 비밀번호에 대한 사용자 인증을 수행하고, 인증에 성공하면 JWT 토큰을 생성하여 반환합니다. ProtectedRoute 함수는 JWT 토큰의 유효성을 검사하고 인증된 사용자만 접근 가능한 보호된 라우터를 구현합니다.

3. SQL Injection 방지

SQL Injection은 악의적인 사용자가 SQL 쿼리문에 악성 코드를 삽입하여 데이터베이스를 공격하는 것을 의미합니다. 이를 방지하기 위해 Go 언어에서는 database/sql 패키지와 prepared statements를 사용할 수 있습니다.

import "github.com/Masterminds/squirrel"

func GetUserByID(userID int) (User, error) {
    var user User

    // SQL Injection 방지를 위해 prepared statement 사용
    stmt, args, err := squirrel.Select("*").
        From("users").
        Where(squirrel.Eq{"id": userID}).
        ToSql()
    if err != nil {
        return user, err
    }

    err = db.QueryRow(stmt, args...).Scan(&user)
    if err != nil {
        return user, err
    }

    return user, nil
}

위의 예시에서는 squirrel 패키지를 사용하여 SQL Injection을 방지하기 위한 prepared statement를 생성합니다. Where(squirrel.Eq{"id": userID}) 부분에서 userID 변수는 자동으로 이스케이프 됩니다. 이를 통해 악의적인 SQL 쿼리를 실행하는 공격을 방지할 수 있습니다.

결론

Go 언어를 사용하여 개발된 RESTful API의 보안을 강화하기 위해 입력 유효성 검사, Authentication 및 Authorization, 그리고 SQL Injection 방지와 같은 안전한 개발 관행을 따루는 것이 중요합니다. 위에서 소개한 방법들은 일반적인 보안 취약점을 방지할 수 있는 좋은 출발점이 될 것입니다. 그러나, 보안은 지속적인 프로세스이므로 항상 최신 보안 기술과 모범 사례를 참고하여 개선해야 합니다.