권한 부여

Authentication

사용자가 누구인지 확인하는 과정이다. 로그인 폼에서 이메일과 비밀번호를 확인하거나, 소셜 로그인으로 사용자의 신원을 확인하는 단계가 인증에 해당한다. 바이브 코딩에서는 AI가 로그인 기능을 빠르게 만들어 주지만, 비밀번호를 평문으로 저장하거나 만료 없는 로그인 상태를 만드는 실수가 자주 생긴다. 초보자는 인증을 '문 앞에서 신분증을 확인하는 일'로 이해하면 쉽고, 실제 서비스에서는 비밀번호 해시, 세션, JWT, OAuth 같은 방식 중 프로젝트 규모와 보안 요구에 맞는 방법을 선택해야 한다.

Password Hash

비밀번호 원문을 되돌릴 수 없는 문자열로 변환해 저장하는 방식이다. 데이터베이스가 유출되더라도 사용자의 실제 비밀번호가 바로 드러나지 않도록 보호한다. 단순 SHA 해시만 쓰는 것은 안전하지 않고, bcrypt, Argon2, scrypt처럼 비밀번호 저장용으로 설계된 느린 해시 알고리즘과 salt를 사용해야 한다. 바이브 코딩에서 AI가 '간단한 로그인'을 만들 때 비밀번호를 그대로 저장하는 코드를 내놓을 수 있으므로, 회원가입·로그인 코드 리뷰의 첫 체크포인트가 된다.

CSRF (Cross-Site Request Forgery)

사용자가 로그인한 상태를 악용해, 공격자가 다른 사이트에서 원치 않는 요청을 대신 보내게 만드는 공격이다. 쿠키 기반 로그인은 브라우저가 쿠키를 자동으로 붙여 보내기 때문에, 방어가 없으면 사용자가 모르는 사이에 설정 변경이나 결제 같은 요청이 실행될 수 있다. 방어 방법은 CSRF 토큰, SameSite 쿠키, 중요한 요청의 재확인, Origin/Referer 검증 등이 있다. AI에게 폼 제출이나 관리자 API를 만들게 할 때 '쿠키 인증이면 CSRF 방어도 포함해줘'라고 명시해야 한다.