RESTful API 구현 시 POST,PUT,DELETE,GET Method의 사용범위는?

Question

안녕하세요. 초보 웹 개발자 입니다.맨날 초보 개발자라고 저를 소개하는군요 ;; 다름이 아니라 이번에 새 프로젝트를 진행하게 되었는데요.모바일 요청에 대한 API를 구현해야하는데 RESTful 하도록 설계 중입니다.여기서 궁금한 것이 있는데요. RESTful의 호출 방법이 데이터를 가져오냐 수정하냐 등 어떤 요청을 할지에 따라GET/POST/PUT/DELETE를 사용한다고 나와 있던데요. 지금까지 정부기관 프로젝트나 타 프로젝트 진행 시 PUT과 DELETE Method는 보안상 좋지 않아제한을 걸어 GET과 POST만 사용하여 진행했었습니다. RESTful 컨셉이 이런 Method를 사용하는 것인데.보안상 문제가 안되는 것인지 궁금합니다. 그래고 POST 만으로 RESTful 형태로 사용한다는 것이 올바른 것인지도 헷갈리네요. 물론 상황에 따라 다를 수 있는 것이긴 하지만 일반적인 상황이라면제한을 풀고 모든 Method를 받는 것이 맞는 것인지?또는 GET/POST 만으로 사용하는 것도 맞는 것인지? 궁금합니다.

bar · Accepted Answer

DELETE, PUT 이 GET, POST에 비해서 보안상 문제가 된다고 얘기하는 이유는GET, POST 가 주로 사용되고, DELETE, PUT은 자주 사용되지 않다보니서버 관리자가 주로 GET, POST에 대해서만 보안설정을 하는 경우가 많아서 그런 얘기가 나온걸로 알고 있습니다.물론 옛날부터 내려오는 얘기구요, 요즘처럼 REST API를 많이 사용하는 시대에는 GET, POST에 대해서만 보안을 거는 관리자가 더 문제가 되겠죠. 프로토콜 자체는 아무 죄가 없습니다. 관리하는 사람이 문제인거죠.

협군 · Answer

DELETE, PUT 메소드 사용과 보안과 무슨 상관관계 인지 모르겠네요?DELETE 메소드로 삭제를 구현하는 것과POST 메소드로 삭제를 구현하는 것에 무슨 차이가 있다는 것인가요?삭제 기능에 보안 상 우려가 있다면 모를까 메소드의 차이로 보안 문제를 제기하는 것은 뭔가 이상한데요? 우선 정확한 사실을 먼저 알고 다음 의문이 필요할 것 같습니다.

iops · Answer

put, delete 가 보안이 나쁜게 아니라아무나 함부러 put, delete를 호출할시에 위험하니 주의해라 같네요.근데 이거는 어떤 method로 만들어도 마찬가지인 문제고요 따로 보안용 토큰을 추가하여 처리해야할 문제입니다.

니플 · Answer

레스트풀이 어떻게 동작되는 지 모르시는 것같네요한번 찾아보세요 보안 적으로 더 안전하지않나 합니다.

펠코리오 · Answer

프로토콜 자체는 아무 죄가 없다는 말씀에 깊은 공감합니다. ^^;;API 요청에 대해 보안설정에 신경써서 구조를 설계해 보아야 겠네요.금요일이라 다들 바쁘실텐데 답변 감사합니다.

협군 · Answer

헐.. GET, POST 에만 보안을 건다는 건 무슨 이야기지요?그렇게 할 수 있다는 생각 자체가 의문인데요? 초보자가 보면 오해할 발언을 모르면서 하시는 것 같습니다.

bar · Answer

협군제가 알아듣기 쉽게 답변한다고 쓴게 오해를 불러일으킬 수 있었겠네요.설마 GET, POST 만 암호화해서 전송한다는 말이겠습니까?;;;; HTTP 1.1 표준에는 다음과 같이 정의되어 있구요. OPTIONSGETHEADPOSTPUTDELETETRACECONNECT이걸 모두 활성화하게 되면 WebDAV extention에서 아래와 같은 메소드가 추가됩니다.PROPFINDPROPPATCHMKCOLCOPYMOVELOCKUNLOCK이 메소드들을 사용하면 웹 서버의 파일을 변경할 수가 있게 되서 보안에 심각한 문제가 생깁니다.그래서 서버 관리자 입장에선 보통 GET,POST만 사용할 수 있게 하고 나머지는 모두 막아버리는게 속편하죠. 이런 것들이 점점 말이 전달되면서 GET, POST 는 안전하고 나머지는 안전하지 않다라고 흘러간 거겠죠.좀 더 자세한건 다음 링크를 참고해보시구요.https://security.stackexchange.com/questions/38635/how-is-http-put-and-delete-methods-insecure-if-they-really-are혹시 제가 잘못알고 있는게 있으면 알려주시면 감사하겠습니다.

RESTful API 구현 시 POST,PUT,DELETE,GET Method의 사용범위는?

7개의 답변

Q&A 목록