서버에서 요청에 대한 데이터 인가 검사 관련해 질문드립니다.

Question

안녕하세요.서버로 A라는 데이터에 대한 조회 요청이 들어왔을때 서버 애플리케이션 입장에서 DB에서 조회한 A데이터를 요청한 사람에게 줘도 되는지 인가 검사를어느 방식으로 하는게 좋을지 고민되어 질문을 남기게 되었습니다.현재 아래 두 가지 방법중에 고민중인데 둘 중 뭐가 나은 방법일지, 혹은 다른 좋은 방법이 있을지조언을 해주시면 감사드리겠습니다.조회 대상 DB 테이블의 각 행에는 owner_user_id 라는 속성이 있다고 가정한 상태에서DB에 쿼리 날릴때 요청자의 user_id 를 쿼리의 where조건에 추가하여 해당하는 것만 조회되도록 하기.테이블에서 데이터 조회한 후에 조회한 데이터의 user_id랑 요청자의 user_id가 매칭되는지 확인하기1번 방법은 데이터 조회 시 where조건을 추가하는 방식이기에조회 후 후처리 로직을 실행할 필요가 없는게 장점이고2번 방법은 추후 인가 검사 요구사항이 복잡해졌을때 (B그룹에 속하는 유저들만 조회 가능)조회하는 쿼리를 수정할 부담이 없다는게 장점이라는 생각이 들어 고민이 많이 되는 중입니다.읽어주셔서 감사합니다.

Clickin · Answer

보통은 role 기반 권한 제어로 가지 않나요?어떤 요구사항이길레 user id별로 제어되어야하는지를 명확히 분석하는것도 좋을 듯 합니다.

wine23 · Answer

sesstion_id &#43; GET /secret_boards?secret_board_uuid&#61;asdfsadfsdafwer3214위와 같은 API 요청을 처리하는 서버인데A유저와 B유저 둘 다 같은 등급의 유저일 때B유저가 A유저 소유의 secret_board_uuid를 훔쳐서A유저 소유의 secret_board를 조회하는 요청을 서버로 보낼 경우 조회가 되지 않게 하고 싶어서요.

wine23 · Answer

@Clickin말씀해주신 Role 기반 권한 제어가컨트롤러 진입 전에 보안 Context의 권한을 조회해서 제어하는 방법 맞을까요?

요리조리이리 · Answer

보통은 api endpoint 기반으로 권한을 관리하고 권한+role 관계를 만들어서 롤 기반으로 접근제어를하는데지금 구현하고있는 시스템에서 데이터 단위로 접근제어를 하려는거같고, 적어주신 1,2안을보면, 개인화에 대한 내용이네요.본인글만 노출하고싶으면, 작성자 컬럼을 WHERE에 넣어서 조회하시면될듯합니다.만약에 USER A라는 사람이 데이터를 등록할떄, 특정 ROLE이나 , 특정유저에게만 오픈하고싶은 기능을 구현하시려면 해당 내용을 관리하는 엔터티를 추가로 구성하시면됩니다.

wine23 · Answer

답변 감사합니다.말씀하신 대로 개인화를 위해 데이터 단위로 접근제어를 하려고 합니다.말씀해주신 방법이 괜찮은 방법이라는 생각이 듭니다만추후 Role 엔티티의 속성 및 관계가 변할때마다DB에 접근하는 Repository 계층의 코드를 수정해 주어야 할 것 같아 마음이 쓰이네요. (개인화된 데이터에 접근하는모든 Repository 코드들)1번 방법과 2번 방법 모두 장단점이 있어 고민이 되는 상황인데혹시 1번 방법을 추천하시는 추가적인 이유나2번 방법을 권하지 않으시는 다른 이유가 있으실까요?

wine23 · Answer

개인적으로 2번(조회 후 처리) 방식이 후처리에 대한 자원 소모가 있긴 하지만인가 검사 로직을 통합해서 관리할 수 있어 유지보수하기가 좋다는 점과불법적 요청에 대해 명확하게 403 응답이라 로깅할 수 있어서로그 관리 면에서 좋다고 보아 2번 방법으로 진행하려고 합니다.답변주신분들 감사합니다!

서버에서 요청에 대한 데이터 인가 검사 관련해 질문드립니다.

6개의 답변

기술 목록