[비개발자 사고법 09강] 권한과 인증은 '자물쇠'입니다 — API 키 요금폭탄 87만 원·해싱·인증 vs 인가·토큰 한 방 정리

왜 비개발자가 '권한과 인증'까지 알아야 할까

여기까지 오신 분들은 화면도 만들고, 백엔드도 붙이고, 데이터베이스까지 연결하실 수 있습니다. 그런데 여기서 성격이 달라져요. 지금까지가 "잘 만들어 보자"였다면 오늘부터는 "법적으로 문제 없이 운영해 보자"입니다. 손님이 남긴 정보가 그대로 다 열려 있으면 기능 문제가 아니라 책임 문제가 되니까요.

무서운 건 이겁니다 — 비개발자는 제대로 잠겼는지를 눈으로 볼 수가 없어요. 김지백 강사에 따르면 바이브 코딩은 아무리 똑똑해져도 정확하게 시키지 않으면 추측하는 경향이 있어서, 아껴 쓰려고 낮은 모델로 돌리면 인증과 보안이 이상하게 짜이기도 합니다. 그래서 인증·보안 작업만큼은 되도록 좋은 모델을 붙이라고 권합니다.

🔐 8강은 "저장한다", 오늘은 "잠궈서 저장한다"

우리는 매일 집을 나설 때 문을 잠급니다. 아무나 들어와 내 물건을 가져가면 안 되니까요. 지난 시간에 만든 데이터베이스라는 정보 창고에도 똑같은 게 필요합니다. 회원 명단·주문 내역·결제 정보를 아무나 열어볼 수 있다면 그건 창고가 아니라 열린 상자예요.

그래서 오늘 딱 하나만 기억하시면 됩니다. "잠궈서 저장한다." 이 키워드만 넣어 두시면 인증과 보안은 거의 끝났다고 보셔도 됩니다.

오늘은 창고 이야기와 자물쇠 이야기가 계속 왔다 갔다 합니다. 8강 데이터베이스 편을 먼저 보고 오시면 훨씬 유기적으로 이해되실 거예요.

🗝️ 열쇠는 하나가 아니라 두 개 — 아이디와 비밀번호

웹 프로젝트에서 자물쇠를 열려면 열쇠가 두 개 필요합니다. 하나만 맞으면 안 열려요. 두 개가 다 맞아야 철컥 하고 열립니다.

첫 번째 열쇠는 아이디 — "너 누구야?"에 대한 답입니다. 수많은 회원 중에 "나는 이 사람이다" 하고 가리키는 거죠. 두 번째 열쇠는 비밀번호 — "근데 너 진짜 그 사람 맞아?"를 증명하는 겁니다. 이름은 얼마든지 사칭할 수 있으니 반드시 한 번 더 물어보는 거예요.

조심할 게 있습니다. AI에게 그냥 "로그인 페이지 만들어 줘"라고만 하면, 모델에 따라 비밀번호만 맞으면 통과시키는 로그인을 만들어 놓기도 해요. 아이디는 아무거나 쳐도 들어가지는, 열쇠 하나짜리 자물쇠가 되는 겁니다.

🤝 소셜 로그인 — 동네 열쇠 장인에게 맡기기

요즘 우리는 아이디·비밀번호를 안 치고 들어가는 경우가 더 많죠. 노란색 버튼, 초록색 버튼 — 카카오·네이버·구글·애플로 시작하기입니다. 저는 이걸 동네에서 열쇠 잘 만드는 장인에게 맡기는 것이라고 비유합니다. 열쇠 두 개 챙기고, 보관도 신경 쓰고, 틀리면 막고… 굳이 내가 다 짤 필요가 없거든요.

카카오 버튼을 누르는 순간 벌어지는 일은 이겁니다 — "나 카카오인데, 내가 이 사람 신원 보증할 테니까 통과시켜 줘." 비밀번호를 따로 만들 필요도 없죠. 이렇게 남의 인증을 빌려 쓰는 방식이 파이어베이스 안에 인증(Authentication) 서비스로 들어 있습니다. 로그인 방법 메뉴의 제공업체에서 구글·애플·전화번호는 바로 켤 수 있고, 카카오·네이버는 한 단계 더 연동이 필요해요.

휴대폰 인증은 문자 한 통 한 통이 다 돈이라 처음부터 붙일 필요는 없습니다. 그리고 회원이 100명, 200명 넘어가면 아이디·비밀번호를 잊어버리는 사람이 반드시 생겨요. 비밀번호 재설정 메일도 파이어베이스 인증의 템플릿 메뉴에서 제목과 문구를 우리 브랜드에 맞게 고칠 수 있습니다.

🔒 평문 vs 해싱 — 창고를 열어도 비밀번호는 안 보이게

많은 분들이 궁금해하십니다. "내 회원의 비밀번호를 사장인 내가 볼 수 있나요?" 반대로 가입한 손님은 "사장님이 내 비밀번호를 알면 어떡하지?" 싶고요. 창고에 저장되는 방식이 딱 두 가지인데, 이걸 알아야 답이 나옵니다.

첫 번째는 평문(平文) 저장입니다. 창고 문을 열었더니 회원 비밀번호가 1234라고 그대로 적혀 있는 거예요. 그럼 사장님이 그 아이디로 그냥 들어갈 수 있죠. 저는 이걸 에어비앤비 문자에 비유합니다. 집주인이 "현관 비밀번호는 ○○○○입니다"라고 정확히 알려주잖아요. 그래야 손님이 들어가지만, 그 문자 한 장이 새어 나가면 모든 객실이 다 열립니다.

두 번째가 해싱(hashing)입니다. 비밀번호를 알아볼 수 없게 뒤섞은 값으로 바꿔 저장하는 거예요. 창고를 열어도 뒤섞인 글자 뭉치만 보이고, 가져가도 거꾸로 풀지 못합니다. 그럼 로그인은 어떻게 맞춰 볼까요? 입력한 비밀번호도 똑같이 뒤섞어서 저장된 값과 같은지만 비교합니다. 원본은 아무도 몰라도 되는 거죠.

요즘 AI는 웬만하면 알아서 해싱 처리를 해 줍니다. 하지만 "웬만하면"에 회원 정보를 걸 수는 없죠. 한 마디만 더 붙이면 됩니다.

💳 카드값 87만 원의 정체 — API 키 금고와 계량기 두 개

이제 사람이 아니라 프로그램끼리 신분을 확인하는 열쇠 이야기입니다. 07강에서 배운 API 기억하시죠? 기상청·공공데이터처럼 공짜인 것도 있지만, 클로드나 챗지피티 API처럼 쓴 만큼 돈이 나가는 것도 있어요. 그 문을 여는 열쇠가 API 키입니다.

상상을 해 봅시다. 챗지피티 API를 연결해 서비스를 열었는데 한 달 뒤 카드 명세서에 87만 원이 찍혀 있습니다. 손님은 몇 명 오지도 않았는데요. 특히 04강에서 배운 깃허브에 코드를 올릴 때 키가 그대로 딸려 올라가면, 지나가던 누군가가 "어, 이거 되네?" 하며 내 키로 마음껏 쓸 수 있습니다.

키를 발급받고 신용카드를 등록하고 복사해 오는 것까지는 여러분이 직접 하셔야 합니다. 그 다음이 중요해요 — "API 키는 .env 파일에 보관해 줘", ".gitignore에 .env를 등록해 줘"까지 시키면 이중으로 잠깁니다. 다만 하나 더 — 키를 쓰는 코드가 화면 쪽에 있으면 .env에 넣어도 브라우저에서 들여다보입니다. "API 키는 서버에서만 쓰게 해 줘"까지 같이 시켜 주세요. 참고로 클로드 코드에 키를 그대로 붙여넣으면 "이미 노출되었으니 새로 발급받으세요"라고 안내하는 경우가 많아요. 유출됐다면 미련 없이 재발급하세요.

🚪 인증 · 인가 · 토큰 — 넌 누구냐, 뭐 해도 되냐, 팔찌 하나로

이제 자물쇠가 열려서 안에 들어왔습니다. 그런데 들어왔다고 모든 방에 다 들어갈 수 있는 건 아니죠. 여기서 글자 하나 차이인데 완전히 다른 두 단어가 나옵니다.

인증(Authentication)은 "넌 누구냐"입니다. 건물 입구에서 신분증을 보여주고 들어가는 것 — 방금 한 로그인이죠. 인가(Authorization)는 "너 뭐 해도 되냐"입니다. 어디까지 들어오고 어디까지 만질 수 있는지, 출입 권한이에요. 06강에서 알바생이 "저 주방에 들어갈 권한이 없는데요"라고 한 그 장면이 바로 인가입니다.

마지막은 토큰입니다. 화면을 누를 때마다 매번 아이디·비밀번호를 다시 치라고 하면 너무 번거롭겠죠. 그래서 놀이공원·콘서트장의 팔찌를 씁니다. 입구에서 신분 확인을 한 번 받으면 손목에 팔찌를 채워주고, 그 다음부터는 팔찌만 보여주면 자유롭게 드나들 수 있죠. 이 디지털 팔찌가 토큰이고, 많이 쓰는 게 JWT입니다. 위조하기 어렵게 특별한 도장이 찍혀 있고 일정 시간이 지나면 만료되기도 해요. 우리가 매일 누르는 '자동 로그인'의 정체가 이겁니다.

한눈에 보는 권한·인증 8단어 정리

사장님처럼 AI에게 시키는 법 — "잠궈서 저장해"를 콕 집어서

정리하면 이렇습니다. "로그인 기능 만들어 줘" 한 마디로 끝내면 극단적으로는 해싱도 안 된 채 비밀번호가 평문으로 들어갈 수 있습니다. 대신 이렇게 시켜 보세요.

인증과 보안을 알면 AI가 짜 준 코드를 검토할 수 있는 사장이 됩니다. 비밀번호를 그대로 저장하진 않았는지, 토큰은 잘 쓰는지 같이 짚어 볼 수 있는 거죠. 단어를 아는 사장은 AI를 부리고, 모르는 사장은 AI가 대충 해놔도 끝까지 모릅니다.