보통 웹 개발하면서 접근 권한 어떻게 관리하나요?

Question

권한을 어떻게 관리하는지 궁금합니다.예로들면 특정 게시판에 접근할 수 있는지 여부를 체크하고 싶은데요.제가 지금 생각한거는 특정 게시판에 접근할 경우 현재 접속한 유저의 정보와 게시판 이름을 접근 여부를 확인하는 API로 보내리턴값에 따라 접근 여부를 판단하고 권한이 있으면 데이터를 가져와서 보여주고 없으면 리다이렉션 시킬까 생각 하고 있습니다.이 방법이 맞는지 잘 모르겠습니다.혹시 다른 시스템 개발에서는 어떤 형식으로 개발하는지 궁금합니다.혹은 저 보다 좋은 아이디어 있으면 공유 부탁드리겠습니다.감사합니다.

m.koo.kr · Answer

제가 했던 방식은.. DB 유저 테이블에 권한에 대한 컬럼이 있고, 로그인 할 때, 세션에 DB 에서 가져온 유저권한 정보를 올려놓고권한을 체크하는 식으로 했던 거 같습니다

chytonpide · Answer

계층구조를 가진, 정밀한 권한관리가 필요하다면, 관계기반으로 권한을 관리하는 방법이 있습니다.구글에서 사용하는 zanzibar 라는 시스템이 그 예이며, zanzibar 논문을 바탕으로 만들어진권한관리를 해주는 유료/무료 API 를 제공하는 서비스들이 많이 있습니다. 간단하게 직접 구현하는것 이라면 resource, action, subject 를 프로퍼티로 가진 permission 모델을 사용하는 방법이 있습니다. 예를 들어서 게시물을 작성할때, 생성한 게시물 id가 3 이고, 유저 id가 1면, 다음과 같은 permission 을 저장해 두는겁니다.permissionService.create(article:3#edit@user:1 )그리고 수정 및 삭제 오퍼레이션을 실행할 때 위의 permission 있는지 확인하는 겁니다.boolean hasPermission = permissionService.check(article:3#edit@user:1 )어떤 유저의 리소스에 대한 퍼미션을 확인하는 api도 필요할 수 있습니다. (유저 1 이 edit 할 수 있는 article 에 대한 정보를 되돌려줌)List<Resource> resources = permissionService.listResources(article#edit@user:1 )이렇게 하면 간단하게 권한을 관리할 수 있지만, 각각의 오퍼레이션이 실행될 때 마다,잊지말고 permission 추가, 확인을 해야합니다.

wharup · Answer

JSP 처럼 서버에서 화면/데이터를 생성해서 주는 경우라면화면을 요청할 때 세션의 사용자 정보로 해당 게시판에 접근가능한지를 체크하고화면과 데이터를 넘겨주면됩니다.SPA와 API로 화면따로 데이터따로 전달하는 방식이라면해당 게시판 화면에 접근을 체크하지만, 요건 쉽게 조작할 수 있으므로 보안적으로는 큰 의미는 없고요API로 해당 게시판의 데이터를 요청할 때 세션의 사용자 정보로 해당 API와 데이터에 접근 가능한지를 체크합니다.

보통 웹 개발하면서 접근 권한 어떻게 관리하나요?

3개의 답변

Q&A 목록