장쫄깃 기술블로그

들어가며로그인 이야기를 하다 보면 OAuth2와 OIDC를 거의 같은 뜻으로 쓰는 경우가 많다. "OAuth2로 소셜 로그인 붙였다"는 말도 흔하고, 그렇게 만든 코드도 대부분 잘 돌아간다. 그런데 OAuth2는 원래 로그인을 위해 만든 규격이 아니다. 이 차이를 모르고 구현하면 코드는 돌아가는데, 꼭 해야 할 검증 하나를 빠뜨리게 된다. 실제로 이 때문에 생긴 취약점이 있었고, 그 구멍을 메우려고 나온 게 OIDC다. 이 글에서는 OAuth2가 어떤 문제를 해결하려고 나왔는지, OAuth2가 해주는 것과 해주지 않는 것, OIDC가 그 빈자리를 어떻게 채우는지, 그리고 Spring Security에서는 어떻게 적용하는지를 정리한다. OAuth2가 없애려던 것OAuth가 나오기 전에는 이런 방식이 흔했..

1. 들어가며OAuth 2.0 기반 인증 시스템을 구축할 때 일반적으로 Access Token을 사용한다. 특히 JWT를 Access Token으로 사용하는 경우 RS256, ES256과 같은 서명 알고리즘을 통해 토큰의 무결성과 발급자를 검증할 수 있다. 그런데 여기서 한 가지 의문이 생긴다. JWT에 이미 서명이 들어 있는데, 공격자가 토큰을 탈취해서 다른 디바이스에서 사용하는 것은 왜 막을 수 없을까? 예를 들어 사용자가 정상적으로 로그인해 발급받은 Access Token을 공격자가 탈취한 뒤, 다른 PC에서 동일한 요청을 보낸다고 가정해 보겠다.[정상 사용자]GET /api/users/meAuthorization: Bearer eyJhbGciOiJSUzI1NiIs...[공격자, 다른 PC]GET ..

Architecture (또는 ETC > ETC) 태그 제안 : GhostJacking, prompt injection, MCP, AI Agent, 보안 사용법 : 티스토리 글쓰기 > 우측 상단 [기본모드] > [HTML] 로 전환 후 아래 전체 붙여넣기=================================================================== -->들어가며Coding Agent에 MCP를 붙여 쓰는 구성이 빠르게 늘고 있다. 로그를 조회하고, 원인을 분석하고, 코드를 고치고, 인프라 설정까지 바꾸는 흐름을 Agent 하나가 처음부터 끝까지 처리한다. 사람이 하던 일을 그대로 넘긴 셈이라 편하다. 편해진 만큼 새로 생긴 공격 표면도 있다. 2026년 8월 DEF CON 3..

직함은 그대로인데 하는 일이 달라졌다몇 년째 백엔드 개발자라는 직함을 달고 있는데, 요즘 하는 일은 3년 전과 많이 다르다. 여전히 API를 만들고 쿼리를 튜닝한다. 그런데 그 옆에서 IAM 정책을 고치고, 모델을 서빙하고, 어떤 기능을 만들지 논의하는 자리에도 앉아 있다. 코드를 직접 타이핑하는 시간보다 AI가 만든 코드를 판단하고 검수하는 시간이 늘었다. 뭔가 어긋나 있다는 느낌은 있었는데, 그게 정확히 뭔지는 한동안 설명이 안 됐다. 그러다 Anthropic에서 Claude Code를 총괄하는 보리스 체르니(Boris Cherny)가 트윗 하나로 이걸 깔끔하게 정리해놓은 걸 봤다. As engineering, product, design, DS, etc. melt into a new kind of ..

들어가며Java 21에서 Virtual Thread가 정식으로 도입된 이후, JDK 24/25를 거치면서 실전에서 쓰기 훨씬 편한 형태로 발전했다. 이 글에서는 Virtual Thread가 왜 등장했는지, 어떻게 쓰는지, 그리고 JDK 25에서 달라진 점까지 정리한다. MySQL을 쓰는 환경에서 신경 써야 할 부분도 같이 다룬다. Virtual Thread란한 줄 정의: OS thread를 작업 하나가 평생 독점하지 않도록, JVM이 훨씬 가볍게 스케줄링하는 thread이다. 목적은 Java의 익숙한 thread-per-request 스타일을 유지하면서도 높은 동시성을 얻는 것이다. 왜 필요한가기존 Platform Thread 기반 서버는 이렇게 동작했다.요청 1개 = thread 1개I/O 대기 중에..

Spring AI란?Spring AI는 Java/Spring 개발자가 LLM 기반 애플리케이션을 쉽게 만들 수 있도록 도와준다.OpenAI, HuggingFace, Claude 등 다양한 모델을 Spring Boot 환경에서 일관된 방식으로 호출할 수 있게 해주며, 프롬프트 템플릿, 챗 메모리, 벡터 검색 기반 QA(RAG) 등도 지원한다. 주요 특징은 다음과 같다.LLM 클라이언트 추상화OpenAI, HuggingFace 등 다양한 LLM을 공통 인터페이스로 호출Prompt 템플릿 지원Java 코드 기반 템플릿 구성 가능Memory 기능대화의 흐름을 저장/관리할 수 있는 MemoryStore 제공RAG(Retrieval-Augmented Generation)VectorStore 연동으로 문서 기반 질의..

들어가며Java에서 Predicate, Consumer, Supplier, Function은 java.util.function 패키지에 포함된 대표적인 함수형 인터페이스이다. Java 8부터 도입된 람다식과 함께 사용되며, 각 인터페이스는 고정된 목적에 맞게 설계되어 있어 함수형 프로그래밍 스타일을 가능하게 한다. 함수형 인터페이스란?함수형 인터페이스는 단 하나의 추상 메서드만 가지는 인터페이스로, 람다 표현식을 통해 간단히 구현할 수 있다.@FunctionalInterfacepublic interface MyFunction { void execute();} @FunctionalInterface는 필수는 아니지만, 해당 인터페이스가 함수형임을 명시하고 추상 메서드가 2개 이상이면 컴파일 에러를 발생..

Spring Modulith란?최근 MSA에 대한 피로도가 높아지면서 다시 모놀리스 아키텍처가 주목받고 있다. 하지만 전통적인 모놀리스가 아니라, 모듈화된 모놀리스, 즉 모듈러 모노리스(Modular Monolith) 방식이 각광받고 있다. Spring에서는 이를 지원하기 위해 Spring Modulith라는 공식 프로젝트를 제공하고 있다. 왜 Spring Modulith가 필요한가? 한때는 마이크로서비스 아키텍처(MSA)가 모든 문제를 해결할 수 있을 것처럼 여겨졌지만, 실제로는 다음과 같은 문제들이 자주 발생한다.인프라 구성의 복잡성 (Service Mesh, Gateway, Config Server 등)배포 및 테스트 환경의 어려움서비스가 많아질수록 높은 운영 비용너무 이른 마이크로서비스 전환으로..

험블 객체 패턴이란험블 객체 패턴은 테스트하기 어려운 행위와 테스트하기 쉬운 행위를 단위 테스트 작성자가 분리하기 쉽게 하는 방법으로 고안된 디자인 패턴이다. 이 패턴에서는 핵심 로직을 담당하는 객체와 외부 시스템과 상호작용하는 험블 객체를 분리한다. 만약 험블 객체가 핵심 로직 안에 포함되면 테스트가 어려워지므로, 이를 분리하여 테스트하기 쉬운 형태로 만든다. 이를 통해 핵심 로직은 단위 테스트가 용이해지고, 험블 객체는 단순해져 유지보수가 쉬워진다.  예제로 보는 험블 객체 패턴 (1) 문제 상황: 외부 API 호출이 포함된 서비스 다음과 같은 UserService가 있다고 가정해보겠다.@Servicepublic class UserService { public String getUserInfo(..

CSRF(Cross-Site Request Forgery) 란?CSRF(크로스 사이트 요청 위조, Cross-Site Request Forgery)는 사용자가 신뢰하는 웹사이트를 대상으로 악의적인 요청을 보내도록 속이는 공격이다. 🔷 CSRF 공격 개념사용자가 사이트 A에 로그인하여 세션을 유지공격자가 사용자를 속여 사이트 A로 특정 요청을 보내도록 유도 (예: 계좌 이체, 비밀번호 변경)사용자의 인증 정보(세션, 쿠키 등)가 자동으로 포함되어 서버가 요청을 정상적인 사용자 요청으로 오인피해자가 원치 않는 작업이 실행됨 🔷 CSRF 방어 방법CSRF 토큰 사용: 요청마다 임의의 토큰을 포함해 서버에서 검증SameSite 속성 설정: 쿠키가 타 사이트 요청에서 전송되지 않도록 설정Referer / Or..