‘안 돼요’에도 이유가 있었어요

안녕하세요, 레드예요. 지난번에는 로그인과 권한을 따로 확인해야 한다는 걸 배웠죠. 이번에는 연습용 사이트에서 다른 사람의 게임 기록을 바꾸려는 요청에 403이라는 답이 왔어요. 응답 내용에는 ‘다른 사람의 기록은 수정할 수 없습니다’라고 적혀 있었고요.

레드

아이코, 이 숫자도 내가 알아야 해?

아이코가 번호를 전부 외울 필요는 없다고 했어요. 대신 어디를 확인하면 좋을지 알려주는 단서로 읽어보자고요.

서버가 보내는 결과 번호

브라우저와 서버가 웹에서 요청과 응답을 주고받을 때 쓰는 약속을 HTTP라고 해요. 서버의 응답에 담기는 세 자리 숫자가 HTTP 상태 코드예요. 응답에는 번호뿐 아니라 내용이나 추가 정보도 함께 올 수 있어요.

로그인 화면으로 이동할 때 항상 307을 쓰는 것은 아니에요. 302·303 등도 쓰여요. 실제 번호와 처리 방식은 서버 구현과 상황에 따라 달라질 수 있어요.

403을 없애려고 권한 검사를 지우면?

그럼 문제가 해결된 걸까요? 권한이 없는 사람을 막으려고 나온 응답이었다면, 오히려 필요한 보호를 없앤 셈이에요. 오류처럼 보이는 표시부터 없애기 전에 왜 그런 답이 왔는지 살펴봐야 해요.

네아

이 예제에서는 다른 사람의 기록을 수정하려 했으니, 거절하는 게 맞네요.

아이코에게 부탁할 말을 고쳐봤어요

처음에는 “앱 전체 고치고 저장도 되게 해줘!”라고 말하려고 했어요. 그런데 어디부터 달라지는지 나도 놓칠 것 같아서, 게임 기록의 메모 하나부터 맡겨보기로 했어요.

게임 기록의 메모 한 개를 저장하고 다시 읽는 기능부터 만들고 싶어.

먼저 로그인과 권한 검사부터 확인해줘.
친구의 기록은 읽을 수 있지만, 각 사용자는 자기 메모만 바꿀 수 있어야 해.
서버 비밀키는 브라우저로 보내지 말아줘.
그다음 메모를 저장하고 다시 읽는 경로 하나만 작업해줘.

작업 뒤에는 테스트용 계정과 메모로 확인해줘.
• 새로고침해도 저장한 메모가 돌아오는지
• 로그인하지 않은 요청은 막히는지
• 다른 사용자의 메모를 바꾸려 하면 거절되는지
확인한 결과와 아직 확인하지 못한 것을 나눠 알려줘.

공개해도 되는 값과 비밀값

프로그램 설정 중에는 사이트 이름처럼 보여줘도 되는 값이 있고, 서버 비밀키처럼 숨겨야 하는 값도 있어요. 설정값을 따로 전달할 때 환경 변수라는 방법을 쓰기도 해요.

Next.js에서 NEXT_PUBLIC_으로 시작하는 환경 변수는 브라우저에 공개될 수 있어요. 서버 비밀키에 이 표시를 붙이면 안 돼요. 그렇다고 이 표시만 없으면 언제나 안전한 것은 아니에요. 비밀값을 화면이나 응답으로 보내는 코드도 없어야 해요.

이름을 바꾸는 것만으로 이미 공개된 비밀이 사라지지는 않아요. 실제 비밀값은 글이나 확인용 화면에 넣지 않기로 했어요.