VIBECODING 365 / DICTIONARY
비밀번호 해시
Password Hash
DEFINITION
정의
비밀번호 원문을 되돌릴 수 없는 문자열로 변환해 저장하는 방식이다. 데이터베이스가 유출되더라도 사용자의 실제 비밀번호가 바로 드러나지 않도록 보호한다. 단순 SHA 해시만 쓰는 것은 안전하지 않고, bcrypt, Argon2, scrypt처럼 비밀번호 저장용으로 설계된 느린 해시 알고리즘과 salt를 사용해야 한다. 바이브 코딩에서 AI가 '간단한 로그인'을 만들 때 비밀번호를 그대로 저장하는 코드를 내놓을 수 있으므로, 회원가입·로그인 코드 리뷰의 첫 체크포인트가 된다.
참고
공개 콘텐츠에는 예시 비밀번호나 실제 해시 값을 넣지 않는 것이 좋다.
ENGLISH
Password Hash
EXAMPLE
회원가입 API에서는 password를 데이터베이스에 직접 넣지 않고 bcrypt로 해시한 passwordHash만 저장한다. 로그인 API에서는 입력 비밀번호를 다시 해시해 비교하는 것이 아니라 bcrypt.compare처럼 검증 함수를 사용해 저장된 해시와 맞는지 확인한다.
NOTES
공개 콘텐츠에는 예시 비밀번호나 실제 해시 값을 넣지 않는 것이 좋다.
관련
이어서 볼 문서
RELATED TERMS
연관 용어
Authentication
사용자가 누구인지 확인하는 과정이다. 로그인 폼에서 이메일과 비밀번호를 확인하거나, 소셜 로그인으로 사용자의 신원을 확인하는 단계가 인증에 해당한다. 바이브 코딩에서는 AI가 로그인 기능을 빠르게 만들어 주지만, 비밀번호를 평문으로 저장하거나 만료 없는 로그인 상태를 만드는 실수가 자주 생긴다. 초보자는 인증을 '문 앞에서 신분증을 확인하는 일'로 이해하면 쉽고, 실제 서비스에서는 비밀번호 해시, 세션, JWT, OAuth 같은 방식 중 프로젝트 규모와 보안 요구에 맞는 방법을 선택해야 한다.
보안·인증 권한 부여Authorization
이미 인증된 사용자가 특정 데이터나 기능에 접근할 수 있는지 판단하는 과정이다. 예를 들어 로그인은 성공했더라도 다른 사람의 주문 내역을 볼 수 없어야 하고, 일반 사용자가 관리자 페이지에 접근하면 안 된다. AI가 만든 CRUD 코드는 '로그인했는가'만 확인하고 '이 데이터의 소유자인가'를 빼먹는 경우가 많다. 바이브 코딩에서는 API 라우트, 서버 액션, 데이터베이스 쿼리마다 권한 조건을 명시적으로 요구하고 테스트해야 안전하다.
보안·인증 사이트 간 요청 위조CSRF (Cross-Site Request Forgery)
사용자가 로그인한 상태를 악용해, 공격자가 다른 사이트에서 원치 않는 요청을 대신 보내게 만드는 공격이다. 쿠키 기반 로그인은 브라우저가 쿠키를 자동으로 붙여 보내기 때문에, 방어가 없으면 사용자가 모르는 사이에 설정 변경이나 결제 같은 요청이 실행될 수 있다. 방어 방법은 CSRF 토큰, SameSite 쿠키, 중요한 요청의 재확인, Origin/Referer 검증 등이 있다. AI에게 폼 제출이나 관리자 API를 만들게 할 때 '쿠키 인증이면 CSRF 방어도 포함해줘'라고 명시해야 한다.