Root-level 권한 검증의 맹점을 극복한 Field-level Authorization 설계

Context

GraphQL의 Resolver Tree 구조로 인해 Root Resolver에서만 수행하는 권한 검증이 하위 Nested Resolver까지 전파되지 않는 설계적 결함 발생. REST API의 단일 경로 검증 방식과 달리, GraphQL은 단일 요청 내 다수 필드를 처리하므로 Root-only Guard 설정 시 Alias 및 Fragment를 통한 권한 우회 가능성이 높음.

Technical Solution

• 모든 민감 데이터 접근 Resolver에 독립적인 권한 검증 로직을 배치하는 Field-level Authorization 구조 채택
• Resolver 내부에서 Context의 사용자 ID와 Parent 객체의 소유자 ID를 직접 비교하여 데이터 소유권 검증
• Schema Directive 또는 graphql-shield와 같은 Middleware 레이어를 도입하여 권한 규칙을 선언적으로 관리함으로써 누락 가능성 제거
• Alias를 통한 필드명 변경 및 Rate Limiting 우회를 방지하기 위해 필드 이름이 아닌 Resolver 실행 시점의 컨텍스트 기반 검증 수행
• 비즈니스 로직의 실수 방지를 위해 DB 수준의 Row-level Security를 적용하여 데이터 레이어에서 최종 테넌트 격리 보장