🤔 GraphQL이 왜 보안에 취약할까?

먼저 GraphQL의 특성부터 이해해야 해. REST API는 엔드포인트마다 정해진 데이터만 주고받잖아? 근데 GraphQL은 클라이언트가 원하는 데이터를 직접 쿼리로 요청할 수 있어. 이게 장점이면서 동시에 보안 리스크가 되는 거야. 😅

🔐 1. 인증(Authentication) 제대로 구현하기

인증은 "너 누구야?"를 확인하는 과정이야. GraphQL에서는 일반적으로 HTTP 헤더를 통해 토큰을 전달하는 방식을 많이 써. JWT(JSON Web Token)가 가장 대표적이지! 🎫

const server = new ApolloServer({
  typeDefs,
  resolvers,
  context: async ({ req }) => {
    const token = req.headers.authorization || '';
    const user = await verifyToken(token);
    return { user };
  }
});

이렇게 하면 각 리졸버에서 context.user로 인증 정보를 확인할 수 있어. 간단하지? 😊

🎭 2. 권한 부여(Authorization) 세밀하게 설정하기

인증이 "누구인지" 확인하는 거라면, 권한 부여는 "무엇을 할 수 있는지" 결정하는 거야. GraphQL에서는 필드 레벨, 타입 레벨, 쿼리 레벨에서 모두 권한 제어가 가능해야 해! 🎯

디렉티브 방식이 가장 깔끔하고 유지보수하기 좋아. 예를 들어볼게:

type User {
  id: ID!
  email: String!
  name: String!
  salary: Float @hasRole(requires: ADMIN)
  ssn: String @hasRole(requires: ADMIN)
}

type Query {
  users: [User!]! @auth
  adminStats: Stats! @hasRole(requires: ADMIN)
}

이렇게 하면 salary와 ssn 필드는 관리자만 조회할 수 있어. 일반 사용자가 요청하면 해당 필드는 null이 되거나 에러를 반환하지. 🚫

class AuthDirective extends SchemaDirectiveVisitor {
  visitFieldDefinition(field) {
    const { resolve = defaultFieldResolver } = field;
    field.resolve = async function (...args) {
      const context = args[2];
      
      if (!context.user) {
        throw new AuthenticationError('로그인이 필요합니다');
      }
      
      const requiredRole = this.args.requires;
      if (requiredRole && !context.user.roles.includes(requiredRole)) {
        throw new ForbiddenError('권한이 없습니다');
      }
      
      return resolve.apply(this, args);
    };
  }
}

재능넷에서 보안 관련 개발 재능을 공유하는 전문가들도 이런 패턴을 많이 추천해. 코드 재사용성이 높고 테스트하기도 쉽거든! 👍

⚡ 3. 쿼리 복잡도 제한하기

이게 GraphQL 보안에서 정말 중요한 부분이야! 악의적인 사용자가 서버를 다운시킬 수 있는 가장 쉬운 방법이 바로 복잡한 쿼리를 보내는 거거든. 😈

실제로 구현할 때는 graphql-depth-limit이나 graphql-validation-complexity 같은 라이브러리를 쓰면 돼:

import depthLimit from 'graphql-depth-limit';
import { createComplexityLimitRule } from 'graphql-validation-complexity';

const server = new ApolloServer({
  typeDefs,
  resolvers,
  validationRules: [
    depthLimit(7), // 최대 7단계 깊이
    createComplexityLimitRule(1000, {
      onCost: (cost) => {
        console.log('쿼리 복잡도:', cost);
      }
    })
  ]
});

type Query {
  user(id: ID!): User @complexity(value: 1)
  users(first: Int!): [User!]! @complexity(multipliers: ["first"])
  posts(first: Int!): [Post!]! @complexity(multipliers: ["first"], value: 2)
}

type User {
  id: ID! @complexity(value: 0)
  name: String! @complexity(value: 1)
  posts(first: Int!): [Post!]! @complexity(multipliers: ["first"], value: 5)
}

이렇게 하면 users(first: 100)은 100점, 거기에 각 사용자의 posts(first: 50)을 조회하면 100 × 50 × 5 = 25,000점이 되는 거야. 제한을 1000점으로 설정했다면 이 쿼리는 거부되겠지? 🛑

🔍 4. Introspection 제어하기

GraphQL의 introspection은 정말 편리한 기능이야. 개발할 때 GraphQL Playground나 GraphiQL에서 자동완성이 되는 게 다 이 기능 덕분이거든. 근데 프로덕션 환경에서는? 공격자에게 API 구조를 다 알려주는 꼴이 되는 거지! 😱

Apollo Server에서 introspection을 끄는 건 정말 간단해:

const server = new ApolloServer({
  typeDefs,
  resolvers,
  introspection: process.env.NODE_ENV !== 'production',
  playground: process.env.NODE_ENV !== 'production'
});

환경 변수로 제어하면 배포 환경에 따라 자동으로 켜지고 꺼지니까 편하지! 🎛️

const server = new ApolloServer({
  typeDefs,
  resolvers,
  introspection: true,
  plugins: [{
    requestDidStart() {
      return {
        didResolveOperation({ request, context }) {
          if (request.operationName === 'IntrospectionQuery') {
            if (!context.user || !context.user.roles.includes('DEVELOPER')) {
              throw new ForbiddenError('Introspection은 개발자만 사용할 수 있습니다');
            }
          }
        }
      };
    }
  }]
});

이렇게 하면 개발자 역할을 가진 사용자만 스키마를 조회할 수 있어. 유연하면서도 안전한 방법이지! 😊

🚦 5. Rate Limiting과 Throttling

아무리 쿼리 복잡도를 제한해도, 공격자가 단순한 쿼리를 초당 수천 번씩 보내면? 서버는 결국 다운되고 말아. 그래서 Rate Limiting이 필요한 거야! ⏱️

실전에서는 Redis를 활용한 Rate Limiting을 많이 써. graphql-rate-limit 같은 라이브러리를 쓰면 쉽게 구현할 수 있어:

import { createRateLimitDirective } from 'graphql-rate-limit';

const rateLimitDirective = createRateLimitDirective({
  identifyContext: (ctx) => ctx.user.id
});

const typeDefs = gql`
  directive @rateLimit(
    max: Int
    window: String
    message: String
  ) on FIELD_DEFINITION

  type Query {
    users: [User!]! @rateLimit(max: 100, window: "1m")
    expensiveQuery: Result! @rateLimit(max: 5, window: "1h")
  }
`;

이렇게 하면 users 쿼리는 분당 100번, expensiveQuery는 시간당 5번만 호출할 수 있어. 간단하지? 🎯

이런 식으로 비즈니스 모델과 연계해서 설계하면 보안도 챙기고 수익화도 할 수 있어! 💰

🛡️ 6. 입력 검증과 Sanitization

사용자가 보내는 모든 입력은 의심해야 해! SQL Injection, NoSQL Injection, XSS 같은 공격은 대부분 입력 검증 부족에서 시작되거든. GraphQL도 예외가 아니야. 🔒

커스텀 스칼라 타입을 만들어서 입력 검증을 자동화할 수 있어:

import { GraphQLScalarType, Kind } from 'graphql';

const EmailType = new GraphQLScalarType({
  name: 'Email',
  description: '유효한 이메일 주소',
  serialize(value) {
    return value;
  },
  parseValue(value) {
    if (!isValidEmail(value)) {
      throw new Error('유효하지 않은 이메일 형식입니다');
    }
    return value.toLowerCase().trim();
  },
  parseLiteral(ast) {
    if (ast.kind === Kind.STRING) {
      if (!isValidEmail(ast.value)) {
        throw new Error('유효하지 않은 이메일 형식입니다');
      }
      return ast.value.toLowerCase().trim();
    }
    return null;
  }
});

function isValidEmail(email) {
  const regex = /^[^\s@]+@[^\s@]+\.[^\s@]+$/;
  return regex.test(email) && email.length <= 254;
}

이제 스키마에서 Email 타입을 쓰면 자동으로 검증이 되는 거야! 😎

import Joi from 'joi';

const userInputSchema = Joi.object({
  email: Joi.string().email().required(),
  password: Joi.string().min(8).max(100).required(),
  age: Joi.number().integer().min(0).max(150),
  website: Joi.string().uri().optional()
});

// 리졸버에서 사용
const createUser = async (parent, args, context) => {
  const { error, value } = userInputSchema.validate(args.input);
  
  if (error) {
    throw new UserInputError('입력 데이터가 유효하지 않습니다', {
      validationErrors: error.details
    });
  }
  
  // 검증된 데이터로 사용자 생성
  return createUserInDB(value);
};

🔐 7. HTTPS와 보안 헤더 설정

GraphQL API는 반드시 HTTPS로 서비스해야 해! HTTP로 통신하면 중간자 공격(MITM)에 노출되거든. 토큰이나 민감한 데이터가 평문으로 전송되는 건 정말 위험해. 😱

Express 기반 서버라면 helmet 미들웨어를 쓰면 한 번에 설정할 수 있어:

import helmet from 'helmet';
import express from 'express';

const app = express();

app.use(helmet({
  contentSecurityPolicy: {
    directives: {
      defaultSrc: ["'none'"],
      scriptSrc: ["'self'"],
      styleSrc: ["'self'"],
      imgSrc: ["'self'"],
      connectSrc: ["'self'"]
    }
  },
  hsts: {
    maxAge: 31536000,
    includeSubDomains: true,
    preload: true
  },
  frameguard: {
    action: 'deny'
  },
  referrerPolicy: {
    policy: 'no-referrer'
  }
}));

import cors from 'cors';

const corsOptions = {
  origin: process.env.ALLOWED_ORIGINS?.split(',') || ['https://yourdomain.com'],
  credentials: true,
  maxAge: 86400, // 24시간
  methods: ['POST', 'OPTIONS'],
  allowedHeaders: ['Content-Type', 'Authorization']
};

app.use(cors(corsOptions));

GraphQL은 보통 POST 메서드만 사용하니까 GET을 허용할 필요가 없어. 필요한 것만 열어두는 게 보안의 기본이야! 🔒

📊 8. 로깅과 모니터링

보안 사고는 예방이 최선이지만, 만약 발생했다면 빠르게 감지하고 대응하는 게 중요해. 그래서 로깅과 모니터링이 필수야! 🔍

Apollo Server에서는 플러그인으로 로깅을 구현할 수 있어:

const loggingPlugin = {
  requestDidStart(requestContext) {
    const start = Date.now();
    
    return {
      didEncounterErrors(ctx) {
        console.error('GraphQL 에러 발생:', {
          query: ctx.request.query,
          variables: ctx.request.variables,
          errors: ctx.errors,
          user: ctx.context.user?.id,
          ip: ctx.request.http?.headers.get('x-forwarded-for')
        });
      },
      
      willSendResponse(ctx) {
        const duration = Date.now() - start;
        
        if (duration > 1000) {
          console.warn('느린 쿼리 감지:', {
            duration,
            query: ctx.request.query,
            user: ctx.context.user?.id
          });
        }
        
        console.info('요청 완료:', {
          duration,
          operationName: ctx.request.operationName,
          user: ctx.context.user?.id
        });
      }
    };
  }
};

const server = new ApolloServer({
  typeDefs,
  resolvers,
  plugins: [loggingPlugin]
});

재능넷에서 보안 컨설팅을 제공하는 전문가들도 이런 도구들을 활용해서 클라이언트의 시스템을 안전하게 관리하고 있어! 💪

🧪 9. 보안 테스트와 감사

아무리 보안 장치를 많이 설치해도, 제대로 작동하는지 테스트하지 않으면 소용없어! 정기적인 보안 테스트와 감사가 필수야. 🔬

GraphQL 특화 보안 테스트 도구들도 있어:

예를 들어 GraphQL Cop으로 보안 설정을 검증하는 건 이렇게 간단해:

$ npm install -g graphql-cop
$ graphql-cop -t https://your-api.com/graphql

[✓] Introspection: Disabled
[✗] Depth Limiting: Not Configured
[✓] Query Complexity: Enabled (max: 1000)
[✗] Rate Limiting: Not Detected
[✓] Field Suggestions: Disabled
[✗] Batch Queries: Allowed (potential DoS risk)

보안 점수: 60/100

이런 도구들을 주기적으로 돌려서 보안 상태를 체크하는 게 좋아! 📊

🚀 10. 프로덕션 배포 시 체크리스트

자, 이제 실전이야! 프로덕션에 배포하기 전에 반드시 확인해야 할 보안 체크리스트를 정리해볼게. 하나라도 빠뜨리면 큰일 날 수 있으니까 꼼꼼히 체크해! ✅

🎓 마무리하며

와, 여기까지 읽느라 수고했어! 👏 GraphQL API 보안은 정말 중요하고 복잡한 주제지만, 하나씩 차근차근 적용하면 충분히 안전한 시스템을 만들 수 있어.

핵심을 다시 정리하면:

보안은 한 번 설정하고 끝나는 게 아니야. 지속적으로 모니터링하고, 새로운 위협에 대응하고, 시스템을 개선해야 해. 마치 건강 관리처럼 말이야! 🏃‍♂️

재능넷(https://www.jaenung.net)에서는 GraphQL 보안 전문가들이 컨설팅 서비스를 제공하고 있어. 혼자 하기 어렵다면 전문가의 도움을 받는 것도 좋은 선택이야. 보안은 투자할 가치가 충분히 있는 영역이거든! 💎

이 글이 너의 GraphQL API를 더 안전하게 만드는 데 도움이 되었으면 좋겠어. 궁금한 점이 있으면 언제든 물어봐! 함께 안전한 웹을 만들어가자! 🌐✨

안전한 코딩 되세요! 🚀🔒