보안·민감정보 다루기 주의점

🔐 편리함이 보안 구멍이 되지 않도록

바이브 코딩으로 빠르게 개발하다 보면 보안을 간과하기 쉽습니다. "일단 동작하면 나중에 고치자"는 생각이 사고를 부릅니다. 보안 사고는 대부분 의도적인 공격이 아니라 실수에서 발생합니다. 이번 강의에서는 바이브 코딩 중 가장 흔한 보안 실수와 예방법을 배웁니다.

🚨 사고 사례 1 — API 키 GitHub에 올리기

개발 중 가장 자주 일어나는 보안 사고입니다. API 키, 데이터베이스 비밀번호, 토큰을 코드에 직접 써서 GitHub에 올리면, 자동화된 봇이 수 분 내에 이를 스캔해서 악용합니다.

예방법: 환경변수 파일 사용

# 절대 이렇게 하지 마세요
const apiKey = "sk-abcdef123456"  # 코드에 직접 쓰기 금지

# 이렇게 하세요
const apiKey = process.env.MY_API_KEY  # 환경변수에서 읽기

# .env.local (이 파일은 절대 git에 올리면 안 됨)
MY_API_KEY=sk-abcdef123456

# .gitignore에 반드시 포함
.env
.env.local
.env.*.local

⚠️ 이미 키를 GitHub에 올렸다면 즉시 그 키를 무효화(revoke)하고 새 키를 발급하세요. git history를 지운다고 이미 스캔된 키가 안전해지지 않습니다.

🚨 사고 사례 2 — 민감정보를 AI 채팅에 붙이기

에러를 해결하려고 코드를 AI에게 붙여넣을 때, 코드에 API 키나 비밀번호가 포함되어 있는 경우가 있습니다. AI 서비스에 전송된 데이터는 외부 서버로 전송됩니다.

예방법: AI에게 코드를 보낼 때 민감한 값은 먼저 제거하고 보내세요:

❌ "API_KEY=sk-real-key-here 환경변수 설정 오류 해결해줘"
✅ "API_KEY=YOUR_KEY_HERE 처럼 환경변수를 썼는데 undefined가 나와"

🛡️ AI가 만든 코드의 보안 점검 요청

AI는 보안을 항상 챙기지 않습니다. 기능 구현에 집중하다 보면 보안 구멍이 생길 수 있습니다. 중요한 기능을 완성했다면 AI에게 직접 보안 점검을 요청하세요:

방금 만든 사용자 인증 코드를 보안 관점에서 리뷰해줘. OWASP Top 10 기준으로 취약점이 있는지 확인하고, 문제가 있으면 수정 방법을 알려줘.

이 API 엔드포인트에서 SQL 인젝션이나 XSS 취약점이 있는지 확인해줘.

📋 입문자 보안 수칙 10가지

#	수칙	이유
1	API 키·비밀번호를 코드에 직접 쓰지 않는다	GitHub 노출 방지
2	.env 파일을 .gitignore에 추가한다	실수 방지
3	AI 채팅에 실제 키·비밀번호를 붙이지 않는다	외부 서버 전송
4	사용자 입력은 항상 검증한다 (서버 측)	SQL 인젝션, XSS 방지
5	HTTPS를 사용한다 (Vercel은 자동 적용)	통신 암호화
6	비밀번호는 절대 평문 저장하지 않는다	DB 유출 시 피해 최소화
7	불필요한 포트·서비스는 열지 않는다	공격 표면 최소화
8	라이브러리를 최신 버전으로 유지한다	알려진 취약점 패치
9	에러 메시지에 내부 구조를 노출하지 않는다	공격자 정보 제한
10	관리자 기능에 인증을 반드시 적용한다	무단 접근 방지

🔍 배포 전 보안 체크

배포하기 전 AI에게 이 질문을 해보세요:

이 프로젝트를 배포하기 전에 보안 관점에서 놓친 것이 없는지 체크해줘. 환경변수 관리, 인증, 입력 검증, 에러 처리 등 주요 항목을 확인해줘.

AI가 체크리스트 방식으로 현재 코드를 점검해줍니다.

✅ 정리

• API 키·비밀번호는 반드시 환경변수로 관리하고 .gitignore에 추가하세요.
• AI 채팅에 실제 보안 정보를 붙이지 마세요.
• 중요 기능 완성 후 AI에게 보안 리뷰를 요청하세요.
• 보안 수칙 10가지를 체크리스트로 활용하세요.