피드로 돌아가기
Dev.toSecurity
원문 읽기
Pure PHP 기반 bcrypt 및 Token 검증 체계를 통한 보안 인증 시스템 구축
Construire un système d'authentification PHP complet — de l'inscription à la session sécurisée
AI 요약
Context
프레임워크 없이 Pure PHP 환경에서 인증 시스템을 구축하여 기초적인 아키텍처 이해도를 높이려는 시도. 단순한 로그인 기능을 넘어 이메일 검증 및 세션 관리 체계를 포함한 엔드 투 엔드 인증 흐름 설계가 필요함.
Technical Solution
- bcrypt 기반 password_hash 및 password_verify 함수를 통한 단방향 암호화 저장 및 검증 체계 구축
- bin2hex(random_bytes(4))로 생성한 고유 Token을 활용한 이메일 소유권 확인 프로세스 설계
- PDO Prepared Statements 적용을 통한 SQL Injection 원천 차단 및 데이터베이스 레이어 보안 강화
- Middleware 패턴을 모방한 requireLogin 함수 설계를 통해 페이지 진입 전 세션 유효성을 검사하는 Route Protection 구현
- Business Logic(auth.php)과 Presentation Layer(register/login.php)를 분리하여 유지보수 효율성을 높인 구조 설계
실천 포인트
- 비밀번호 저장 시 MD5, SHA1을 배제하고 bcrypt 기반의 password_hash() 사용 여부 검토 - 모든 DB 쿼리에 Prepared Statements를 적용하여 입력값에 의한 쿼리 조작 가능성 차단 - 사용자 인증 상태를 검증하는 공통 함수를 정의하여 보호 대상 페이지 상단에 일괄 적용 - 세션 하이재킹 방지를 위해 로그인 성공 직후 session_regenerate_id(true) 호출 로직 추가 고려