전화번호 중복 검사 실행 위치와 필요성에 대해 질문 드립니다 (인증 번호 발송 전 검사? 발송 후 검사?)

Question

안녕하십니까 전화번호 인증 과정에서 중복 검사에 대한 질문을 드립니다.현재 전화번호 인증을 처리하는 메서드는 두 개입니다.1번: 전화번호를 인자로 받아 인증 번호를 생성한 후 해당 번호로 인증 번호를 발송합니다.2번: 전화번호와 인증 번호를 인자로 받아 전화 번호와 인증 번호가 일치하는지 검증합니다.전화번호는 유니크 제약 조건이 걸려있어서 중복 검사를 해야합니다. 제가 고민하고 있는건, 중복 검사를 어디에서 실행해야 하는 지입니다.인증 번호 발송 전에 검사를 해야한다고 생각한 이유는 다음과 같습니다: 인증 번호를 생성하고 전송하는 과정에서 통신 비용이 듭니다. 중복된 번호라면 어차피 DB에 넣지 못하는 값인데 불필요한 리소스를 낭비하지 말고 최대한 빠르게 결과를 알아내서 사용자에게 알려주는게 좋지 않을까요?위와 같은 이유로 1번 위치에 구현을 했습니다. 전화번호 입력 받음 -> 중복 검사 -> 중복되지 않은 번호라면 인증 번호 발송 (중복된 번호라면 return responseEntity )만약에 이미 있는 번호라면 'This phone number is already in use for verification. Please try using a different number' 문구를 띄워 고객에게 알려주도록 했습니다.하지만! 생각을 또 해보니.. 이런 식이면 악의적인 의도를 가진 사용자가 전화번호를 하나하나 다 넣어봐서 우리 DB에 어떤 값이 있는지 체크해 볼 수 있게 되지 않을까요? 인증 API의 요청 횟수 제한을 두는 방법도 있다고 하던데, 인증 번호를 전송하기 전에 중복 검사를 진행하고 결과를 알려주기 때문에 횟수 제한을 주는 방법으로는 막기 어려울 거 같습니다. 또한 안내 문구도 이미 사용 중인 번호라고 알려주지 않으면 사용자가 헷갈릴거 같고, 사용 중인 번호라고 알려주면 다른 의도를 가진 사용자에게 너무 많은 정보를 주는 거 같다는 느낌도 듭니다....또 계속 생각해보니 굳이 중복 검사를 해야하는지 모르겠습니다. 중복값을 허용해도 되지 않을까란 생각도 듭니다. 핸드폰 번호 값은 실제로 고객에게 연락을 하기 위함이고 다른 곳에서 사용하는 값이 아니라서 중복이 되어도 문제가 없을 거 같아요.아직 실력이나 경험이 모자라 간단한 문제에서도 많이 헤매고 있습니다. 좋은 방법을 알려주신다면 너무나 감사하겠습니다.

dsms · Answer

정책에 따라 다르지만 sk, naver 프로젝트에 있을때 회원가입 중복 체크할때도 인증여부는 신경쓰지 않았습니다. 전화번호 중복여부는 인증확인 후에 해왔습니다.인증을 실행한다. 비용이 발생하는 것에 신경 x인증 후 번호를 서버에 전달한다서버는 중복여부를 체크한다. 중복여부를 체크할지 말지를 고민이라면 정책에 대한 고민이 부족한 거 같네요. 회원의 유일성, 본인여부가 중요한 서비스라면 보통 중복체크를 합니다. 그러면 번호 이동을 한 경우는 어떻게 고려하실 건가요? 이런경우 핸드폰 번호가 아니라 di나 ci를 가지고 하겠지요. 그럼 di나 ci는 어떻게 얻어 올까요? 본인인증 서비스 회사가 보통 제공합니다. 즉 어떤 경우든 본인인증 후에나 중복여부를 체크하는 게 맞겠네요

오후 · Answer

앞단에둘수도있지만 생각하신이유 (무작위대입으로 정보획득)때문에 발송을시키고 실질적으로 DB에 등록하는단계에서 검증합니다.(인증번호 발송이면 SMS 발송이라 실질적으로 5~7원정도의 비용밖에 안들어갑니다.)이비용마저 줄이겠다면 동일번호에대해 일정시간(5분,10분...등)동안 몇회만 발송가능 형태등 으로 제한을겁니다.

mirheeoj · Answer

중복가입 방지 목적이라면 해당 목적의 외부서비스를 이용하시는 것이 맞을듯 합니다. 전화번호만 쓰면 이유없이 가입을 못하는 사람이 나오겠죠. 단순 커뮤니케이션 용도라면 인증은 필요할지언정 굳이 중복체크를 할 이유가 없고요. 다만 후자는 악의적으로 이리저리 마구 번호를 넣고 인증문자를 보낼 수 있다는 것 정도가 우려되는 부분일텐데, 비정상적으로 여러번 인증문자를 보내려는 시도를 시스템에서 제한하면 될 듯 합니다. 패스워드 브루트포스 방지랑 비슷하게요.이러나 저러나 전화번호 중복 체크를 직접 할 일은 없다는 결론이 될 것 같습니다.

전화번호 중복 검사 실행 위치와 필요성에 대해 질문 드립니다 (인증 번호 발송 전 검사? 발송 후 검사?)

3개의 답변

Q&A 목록