보안과 인증: 세션 관리 및 이메일 인증 코드 저장

세션(Session) 저장소로서의 Redis

웹 서비스에서 로그인을 유지하려면 사용자의 인증 상태(세션)를 서버 어딘가에 저장해야 합니다. 과거에는 이 데이터를 웹 서버 메모리에 직접 저장했지만, 서버가 여러 대가 되면 로그인이 풀려버리는 치명적인 문제가 발생합니다.

이 문제를 해결하기 위해 Redis를 공통 세션 저장소로 사용하는 패턴이 등장했습니다. 어떤 서버에 접속하든 모든 서버가 중앙의 Redis에서 세션 정보를 확인하므로 일관된 로그인 상태를 유지할 수 있습니다.

왜 PostgreSQL 대신 Redis인가?

세션 데이터는 보통 하루나 일주일 정도만 유지되면 충분합니다. 굳이 영구 저장소인 메인 데이터베이스에 로그인 상태를 기록할 필요가 없죠. 또한, 세션 확인은 모든 페이지 이동마다 발생하기 때문에 매우 빠른 읽기 속도가 필요합니다. Redis는 메모리 기반이므로 이 조건에 완벽하게 부합합니다.

이메일 인증 코드와 단기 데이터

회원가입 시 이메일이나 문자로 전송되는 6자리 인증 코드를 떠올려보세요. 이 데이터는 다음과 같은 명확한 특징이 있습니다.

1. 매우 짧은 수명: 보통 3분~5분 후에는 무용지물이 됩니다.
2. 단순한 구조: 이메일 주소와 숫자 6자리만 매칭되면 됩니다.
3. 영구 보존 불필요: 인증이 완료되거나 시간이 지나면 영원히 사라져도 괜찮습니다.

이런 데이터는 메인 데이터베이스에 넣으면 쓰레기 데이터만 쌓이게 됩니다. Redis를 활용하면 이런 단기 데이터를 아주 우아하게 처리할 수 있습니다.

Redis를 활용한 인증 코드 관리 패턴

이메일 주소를 키(Key)로, 인증 코드를 값(Value)으로 저장하면서 앞서 배운 TTL(만료 시간)을 3분으로 설정합니다. 이렇게 하면 코드를 직접 삭제할 필요 없이 시간이 지나면 알아서 사라집니다.

// 1. 인증 코드 발급 (3분 TTL)
async function sendAuthCode(email) {
  const code = generate6DigitCode();
  // 키: auth:[email protected], 값: 123456, 만료: 180초
  await redis.set(`auth:${email}`, code, { EX: 180 });
  await sendEmail(email, code);
}

// 2. 인증 코드 검증
async function verifyAuthCode(email, userInput) {
  const savedCode = await redis.get(`auth:${email}`);
  
  if (!savedCode) return "만료되거나 없는 코드입니다.";
  if (savedCode !== userInput) return "코드가 일치하지 않습니다.";
  
  // 인증 성공 시 보안을 위해 코드 즉시 삭제
  await redis.del(`auth:${email}`);
  return "인증 완료";
}

보안을 위한 인증 횟수 제한

여기서 한 걸음 더 나아가 볼까요? 해커가 무작위 숫자를 계속 입력해서 인증을 뚫으려 할 수 있습니다. 이를 방지하기 위해 '해당 이메일의 실패 횟수'도 Redis에 저장할 수 있습니다.

이처럼 Redis는 단순히 빠른 캐시를 넘어, 상태(State)를 추적하고 제어하는 강력한 보안 도구로 활약합니다.