Node.js API를 구축했고 이를 보호하고 싶어서 선택할 수 있는 몇 가지 옵션을 확인했습니다. 그래서 세 가지 일반적인 인증 방법인 기본 인증, JWT(JSON 웹 토큰), API 키에 대해 안내해 드리겠습니다.
기본 인증은 매우 간단합니다. 클라이언트는 Authorization 헤더에 각 요청과 함께 사용자 이름과 비밀번호를 보냅니다. 구현하기는 쉽지만 자격 증명이 base64로만 인코딩되므로(암호화되지 않음) HTTPS를 사용하지 않는 한 가장 안전하지는 않습니다.
Express를 사용하여 API에 기본 인증을 추가하려면 다음이 필요합니다.
npm install basic-auth
const express = require('express');
const basicAuth = require('basic-auth');
const app = express();
function auth(req, res, next) {
const user = basicAuth(req);
const validUser = user && user.name === 'your-username' && user.pass === 'your-password';
if (!validUser) {
res.set('WWW-Authenticate', 'Basic realm="example"');
return res.status(401).send('Authentication required.');
}
next();
}
app.use(auth);
app.get('/', (req, res) => {
res.send('Hello, authenticated user!');
});
const PORT = process.env.PORT || 3000;
app.listen(PORT, () => {
console.log(`Server is running on port ${PORT}`);
});
curl을 사용하여 기본 인증 테스트:
curl -u your-username:your-password http://localhost:3000/
팁: 자격 증명을 보호하려면 항상 HTTPS를 통한 기본 인증을 사용하세요.
JWT는 사용자를 인증하는 더욱 안전하고 확장 가능한 방법입니다. 모든 요청에 대해 자격 증명을 보내는 대신 서버는 로그인 시 토큰을 생성합니다. 클라이언트는 후속 요청을 위해 Authorization 헤더에 이 토큰을 포함합니다.
먼저 필수 패키지를 설치합니다.
npm install jsonwebtoken express-jwt
JWT 인증을 설정하는 방법의 예는 다음과 같습니다.
const express = require('express');
const jwt = require('jsonwebtoken');
const expressJwt = require('express-jwt');
const app = express();
const secret = 'your-secret-key';
// Middleware to protect routes
const jwtMiddleware = expressJwt({ secret, algorithms: ['HS256'] });
app.use(express.json()); // Parse JSON bodies
// Login route to generate JWT token
app.post('/login', (req, res) => {
const { username, password } = req.body;
if (username === 'user' && password === 'password') {
const token = jwt.sign({ username }, secret, { expiresIn: '1h' });
return res.json({ token });
}
return res.status(401).json({ message: 'Invalid credentials' });
});
// Protected route
app.get('/protected', jwtMiddleware, (req, res) => {
res.send('This is a protected route. You are authenticated!');
});
const PORT = process.env.PORT || 3000;
app.listen(PORT, () => {
console.log(`Server is running on port ${PORT}`);
});
먼저 로그인하여 토큰을 받으세요.
curl -X POST http://localhost:3000/login -d '{"username":"user","password":"password"}' -H "Content-Type: application/json"
그런 다음 토큰을 사용하여 보호된 경로에 액세스하세요.
curl -H "Authorization: Bearer <your-token>" http://localhost:3000/protected
JWT는 토큰에 만료 시간이 있고 각 요청마다 자격 증명을 보낼 필요가 없다는 점에서 훌륭합니다.
API 키 인증은 간단합니다. 각 클라이언트에게 고유한 키를 제공하면 요청에 포함됩니다. 구현하기는 쉽지만 동일한 키가 계속해서 재사용되기 때문에 JWT만큼 안전하거나 유연하지는 않습니다. 결국에는 API 호출 수를 제한하는 데 쉽게 사용할 수 있는 강력한 솔루션이 있으며 많은 웹사이트에서 이를 사용하고 있습니다. 추가적인 보안 조치로 요청을 특정 IP로 제한할 수 있습니다.
이를 위해서는 특별한 패키지가 필요하지 않지만 dotenv를 사용하여 API 키를 관리하는 것이 좋습니다. 먼저 dotenv를 설치하세요:
npm install dotenv
그런 다음 API 키 인증을 사용하여 API를 생성하세요.
require('dotenv').config();
const express = require('express');
const app = express();
const API_KEY = process.env.API_KEY || 'your-api-key';
function checkApiKey(req, res, next) {
const apiKey = req.query.api_key || req.headers['x-api-key'];
if (apiKey === API_KEY) {
next();
} else {
res.status(403).send('Forbidden: Invalid API Key');
}
}
app.use(checkApiKey);
app.get('/', (req, res) => {
res.send('Hello, authenticated user with a valid API key!');
});
const PORT = process.env.PORT || 3000;
app.listen(PORT, () => {
console.log(`Server is running on port ${PORT}`);
});
다음을 사용하여 API 키 인증을 테스트할 수 있습니다.
curl http://localhost:3000/?api_key=your-api-key
또는 맞춤 헤더 사용:
curl -H "x-api-key: your-api-key" http://localhost:3000/
기본 인증:
JWT 인증:
API 키 인증:
빠르고 쉬운 방법을 찾고 있다면 기본 인증이 효과적일 수 있지만 HTTPS를 사용하는 것을 잊지 마세요. 더욱 강력하고 확장 가능한 보안을 원한다면 JWT를 선택하세요. 경량 또는 내부 API의 경우 API Key 인증만으로 충분할 수 있습니다.
어떤 인증 방법을 사용할 예정이거나 다른 솔루션이 있나요? 댓글로 알려주세요!
위 내용은 Node.js API 보안: 인증에 대한 간단한 가이드의 상세 내용입니다. 자세한 내용은 PHP 중국어 웹사이트의 기타 관련 기사를 참조하세요!
![[웹 프런트엔드] Node.js 빠른 시작](https://img.php.cn/upload/course/000/000/067/662b5d34ba7c0227.png)
