[중급] Dart 서버 인증 및 보안/ Dart 서버 보안 모범 사례 (HTTPS 설정, 입력 검증, SQL 인젝션 방지 등)

 

서버를 구축할 때 보안은 매우 중요한 요소입니다.

특히, 사용자의 데이터와 개인정보를 보호하기 위해서는 다양한 보안 조치를 취해야 합니다.

이 블로그에서는 Dart 서버에서 HTTPS 설정, 입력 검증, SQL 인젝션 방지 등 보안 모범 사례를 초보자가 이해하기 쉽게 설명하겠습니다.

1. HTTPS 설정

HTTPS는 데이터 전송 시 암호화를 통해 보안을 강화하는 프로토콜입니다.

HTTPS를 사용하면 네트워크를 통해 전송되는 데이터가 암호화되어 중간에서 데이터가 도청되거나 변조되는 것을 방지할 수 있습니다.

1.1 HTTPS 설정의 중요성

• 데이터 암호화: 사용자의 로그인 정보, 개인 정보 등을 암호화하여 보안성을 높입니다.
• 데이터 무결성: 데이터가 전송 중에 변조되지 않도록 합니다.
• 신뢰성: 사용자가 안전하게 사이트를 이용할 수 있다는 신뢰를 제공합니다.

1.2 HTTPS 설정 방법

Dart 서버에서 HTTPS를 설정하려면 SSL/TLS 인증서가 필요합니다.

인증서는 웹 호스팅 서비스나 인증 기관에서 구매할 수 있습니다. 인증서를 받은 후, Dart 서버에서 HTTPS를 설정하는 방법은 다음과 같습니다.

1. 인증서 준비: SSL 인증서 파일 (.crt, .key)을 준비합니다.
2. Dart 서버 코드 수정: bin/main.dart 파일을 열어 HTTPS 서버를 설정합니다.

import 'dart:io';
import 'package:shelf/shelf.dart';
import 'package:shelf/shelf_io.dart' as io;
import 'package:shelf_router/shelf_router.dart';

void main() async {
  final router = Router();

  router.get('/', (Request request) {
    return Response.ok('Hello, Dart Server with HTTPS!');
  });

  final handler = Pipeline().addMiddleware(logRequests()).addHandler(router);

  // SSL 인증서 파일 경로
  final certFile = File('path/to/your/cert.pem');
  final keyFile = File('path/to/your/key.pem');

  final server = await io.serve(
    handler,
    InternetAddress.anyIPv4,
    8080,
    securityContext: SecurityContext()
      ..useCertificateChain(certFile)
      ..usePrivateKey(keyFile),
  );

  print('Server listening on port ${server.port}');
}

1. 이 코드는 인증서와 키 파일을 사용하여 HTTPS 서버를 설정합니다.

2. 입력 검증

입력 검증은 서버에 전달되는 데이터가 예상한 형식과 값인지 확인하는 과정입니다. 이를 통해 악의적인 데이터가 서버로 전달되는 것을 방지할 수 있습니다.

2.1 입력 검증의 중요성

• 보안 강화: 악성 코드나 잘못된 데이터가 서버에 전달되는 것을 방지합니다.
• 애플리케이션 안정성: 잘못된 데이터로 인해 서버나 애플리케이션이 다운되는 것을 방지합니다.

2.2 입력 검증 구현 방법

Dart에서 입력 검증을 구현하려면, 요청의 데이터를 검증하고 유효성을 확인하는 로직을 추가해야 합니다.

1. 데이터 검증 예제

import 'package:shelf/shelf.dart';

Response validateInput(Request request) {
  final queryParams = request.url.queryParameters;
  final name = queryParams['name'];
  final age = queryParams['age'];

  if (name == null || name.isEmpty) {
    return Response(400, body: 'Name is required');
  }

  final ageInt = int.tryParse(age ?? '');
  if (ageInt == null || ageInt < 0) {
    return Response(400, body: 'Invalid age');
  }

  return Response.ok('Name: $name, Age: $ageInt');
}

이 예제는 요청의 쿼리 파라미터에서 name과 age 값을 검증합니다. name은 필수이고, age는 정수형이어야 하며 음수는 안 됩니다.

3. SQL 인젝션 방지

SQL 인젝션은 공격자가 SQL 쿼리에 악성 코드를 삽입하여 데이터베이스를 조작하는 공격입니다. 이를 방지하기 위해 쿼리에서 사용자 입력을 직접 사용하는 것을 피해야 합니다.

3.1 SQL 인젝션의 위험성

• 데이터 유출: 민감한 데이터가 유출될 수 있습니다.
• 데이터 손상: 데이터베이스의 데이터가 변조되거나 삭제될 수 있습니다.

3.2 SQL 인젝션 방지 방법

1. 파라미터화된 쿼리 사용: 사용자 입력을 쿼리에 직접 삽입하는 대신, 파라미터를 사용하여 쿼리를 실행합니다.

import 'package:postgres/postgres.dart';

Future<void> queryDatabase(String name) async {
  final connection = PostgreSQLConnection('localhost', 5432, 'your_database');
  await connection.open();

  // 파라미터화된 쿼리 사용
  final result = await connection.query(
    'SELECT * FROM users WHERE name = @name',
    substitutionValues: {'name': name},
  );

  for (final row in result) {
    print('User: ${row[0]}, ${row[1]}');
  }

  await connection.close();
}

이 예제는 name 파라미터를 사용하여 SQL 쿼리를 실행합니다. 이를 통해 SQL 인젝션 공격을 방지할 수 있습니다.

 

이 블로그에서는 Dart 서버에서 HTTPS 설정, 입력 검증, SQL 인젝션 방지와 같은 보안 모범 사례를 소개했습니다.

보안은 애플리케이션 개발에서 필수적인 부분으로, 사용자 데이터와 시스템을 보호하기 위해 신경 써야 합니다.

• HTTPS를 설정하여 데이터 전송 시 보안을 강화하세요.
• 입력 검증을 통해 악의적인 데이터로부터 서버를 보호하세요.
• SQL 인젝션을 방지하기 위해 파라미터화된 쿼리를 사용하세요.

이러한 보안 조치를 통해 안정적이고 안전한 서버를 구축할 수 있습니다.

추가적인 보안 요소(예: CSRF 방어, XSS 방어 등)도 고려하여 더 강력한 보안을 유지하는 것이 좋습니다.

구독!! 공감과 댓글은 저에게 큰 힘이 됩니다.

Starting Google Play App Distribution! "Tester Share" for Recruiting 20 Testers for a Closed Test.

Tester Share [테스터쉐어] - Google Play 앱