요즘 쿠팡 와우, 컬리 멤버스 같은 멤버십부터 밀리의 서재, 티빙과 같이 구독 기반 서비스들이 생겨나고 나고 있습니다. 이커머스 기업들이 충성 고객 확보를 위해 멤버십 서비스/구독 서비스에 집중하고 있기 때문인데요. 그래서 덩달아 구독 서비스  개발을 위한 핵심 기술인 인증 & 인가 기능 개발 역량이 백엔드에게 중요해졌습니다. 

이름만 들어도 어려운 인증 & 인가 개발, 어떻게 사용해야하며 어떻게 배워야하는지 자세히 설명드리겠습니다.

1) 구독 서비스를 잘 구현하기 위한 인증 & 인가 필수 기술 스택 4가지

구독 서비스 구현을 위한 인증 & 인가 기능에 가장 자주 사용하는 4가지 기술 스택이 있는데요. 이를 전략적으로 사용하는 것이 중요합니다.

1) Spring Security (스프링 시큐리티)

*Spring Security 로고

Spring Security (스프링 시큐리티)는 스프링 프레임워크를 기반으로 하는 애플리케이션의 보안을 담당하는 모듈입니다. 구독 서비스 구현을 위한 인증 & 인가에 핵심적인 기술스택으로 애플리케이션의 보안을 보다 체계적이고 강력하게 관리할 수 있으며, 보안 관련 기능을 쉽게 구현할 수 있습니다. 

Spring Security의 구조를 이해하면 기본적인 회원 기능 구축이 가능합니다. 더 나아가 Spring Security 심화 기술을 학습한다면 엑세스 제한과 권한까지 제어할 수 있습니다. 

2) OAuth 2.0

*OAuth 2.0 로고

인터넷 사용자가 비밀번호를 제공하지 않고도, 다른 웹사이트의 자원에 대한 접근 권한을 제3의 애플리케이션에게 부여할 수 있게 해주는 기술입니다. 사용자의 자격증명이 직접적으로 제3의 애플리케이션에 노출되지 않도록 함으로써, 보안을 강화하는 역할을 합니다.

3) JWT

*JWT 로고

JWT는 JSON Web Token의 약자로, 인증 및 정보 교환에 사용되는 컴팩트하고 자가 수용적인(self-contained) 방식의 토큰입니다. JWT은 JSON 객체를 사용하여 두 당사자 사이에서 정보를 안전하게 전송할 수 있도록 설계되었습니다. 이 JWT는 주로 세가지로 구성되어있습니다. 

① 헤더(Header): 토큰의 유형(JWT)과 사용된 알고리즘(HS256, RSA 등) 정보가 포함됩니다.

② 페이로드(Payload): JWT 토큰에 담을 클레임(claim) 정보가 포함됩니다. 클레임은 토큰(JWT)에 대한 속성 값들이며, 예를 들어 사용자의 ID, 권한 정보, 토큰 (JWT)의 발행자, 유효 기간 등을 포함할 수 있습니다.

③ 서명(Signature): 헤더의 인코딩 값, 페이로드의 인코딩 값, 비밀키를 사용하여 생성된 서명입니다. 이 서명은 토큰(JWT)이 중간에 변경되지 않았음을 검증하는 데 사용됩니다.

JWT는 필요한 모든 정보를 자체적으로 담기에, 특수한 저장소 없이 토큰(JWT) 자체로 인증 및 정보 교환 처리가 가능합니다. 더불어 이 토큰(JWT)은 디지털 서명이 되어있어 정보가 변경되었는지 확인할 수도 있습니다.

4) Keycloak

Keycloak은 오픈 소스 아이덴티티 및 액세스 관리 솔루션입니다. 이를 사용하면 애플리케이션과 서비스에 대한 보안 인증 및 인가를 쉽게 구현할 수 있습니다. Keycloak은 엔터프라이즈 환경에서 사용자 인증 및 권한 관리를 단순화하고, 보안을 강화하는 데 매우 유용한 도구입니다. 다양한 프로토콜과 연동이 가능하며, 확장성과 유연성이 뛰어나 많은 기업과 개발자들이 사용하고 있습니다. 무려 쏘카, 데브시스터즈, 29CM, GS리테일에서도 사용하고 있을 만큼 대세로 떠오르고 있습니다. 

이러한 기술들 단순하게 사용하는 것이 아니라  서비스의 목표와 요구 사항에 맞게 사용하는 것이 중요하겠죠? 하지만 구독 서비스 구현을 위한 인증 & 인가 기술은 시스템의 보안과 밀접하게 연결되어있어 매우 까다로운 기술입니다. 그래서 보안에 특별히 신경써야하며, 사용자의 편의를 위해 다양한 인증방식을 구현해야하기에 복잡하기도 합니다. 또 개인정보 보호법 같은 법률 및 규정을 준수해야해서 신경쓸 부분이 많은데요.

이러한 구독 서비스 구현을 위한 인증 & 인가 기술 어떻게 배워야할까요? 

2) 어려운 구독 서비스 구현을 위한 인증 & 인가 제대로 배우는 학습법

어려운 만큼 Spring Security 기초 – 심화까지 배우고 앞서 소개한 기술 스택을 모두 구현해봐야합니다. 그리고 기본적인 기능부터 실제 프로덕트와 유사하게 프로젝트형식으로 단계별로 배워봐야 마스터할 수 있습니다. 

그래서 준비한 [Netplix 구독형 멤버십 프로젝트로 배우는 Spring Security] 강의!