lution88

[220831] JWT 토큰 사용하기[1]

lution88 — Wed, 31 Aug 2022 23:01:58 +0900

# JWT 토큰 사용 및 인증과 인가

1. 인증과 인가
2. JWT인증 관련
3. bcrypt

Django에서 로그인과 회원가입 회원탈퇴에 사용할 JWT토큰 사용법 및 인증과 인가에 대해서 알아보자.

먼저 인증 Authentication 과 인가 Authorization 란 무엇일까?

인증과 인가는 API에서 자주 구현되는 기능들 중 하나이다.
- 인증 : 사용자의 신원을 확인하는 절차이다. 사용자의 id와 password를 받아서 등록된 사용자가 맞는지 검증하는 것이다.
- 인가 : 인증이 로그인 과정이라면 인가는 인증이 완료된 사용자에게 권한을 주는 것이다.

인증 Authentication 이란?

인증이란 유저 아이디와 비밀번호를 확인하는 절차를 가리키며, 쉽게 로그인하는 과정을 생각하면 된다.

인증을 위해서는 아이디/비번을 생성할 수 있는 회원가입 기능 또한 필요하다.

인증절차는 어떻게 될까?

# 로그인의 과정

1. 회원가입을 통한 ID 아이디/PW 비밀번호 생성
2. 비밀번호 암호화 > Database 저장
3. 유저 로그인 : ID 와 PW 입력
4. 비밀번호 확인 : 비밀번호를 암호화 한 뒤 DB의 암호와 같은지 확인한다. 일치하면 로그인 성공!
5. 로그인 성공 > access token을 클라이언트에게 전달
6. 발급받은 access token을 통해 로그인 유지 및 서비스 사용

로그인을 하기 위해서 우리는 먼저 ID와 Password를 DB에 저장해야 한다.
즉, 회원가입을 통해 아이디와 비밀번호를 DB에 저장하게 되며, DB에 저장된 정보와 로그인 시 입력하는 값이 같을 경우
인증 절차가 정상적으로 끝나게 된다.

이 과정에서 우리가 꼭 알아야 하는 것은

DB에 저장되는 비밀번호는 암호화를 거친 상태라는 것과
로그인 인증을 받으면 access token을 통해 서비스를 이용하게 된다는 것이다.

그렇다면 암호화 된 비밀번호의 비밀번호는 어떻게 암호화 되는 것일까?

먼저 단방향 해쉬함수를 사용한 암호화가 있다.
단방향 해쉬 함수를 사용한 암호화는 한번 암호화 된 정보는 되돌릴 수 없다.
그렇기 때문에 DB에 저장된 암호화 된 비밀번호와 로그인 시 입력받은 비밀번호를 암호화 하여 동일한지 확인하고,
동일하다면 로그인이 진행된다.
하지만 단 방향 해쉬 함수는 입력값에 대한 결과값이 정해져 있어 역추적이 가능하다는 취약점이 있다.

두 번째로는 Bcrypt를 사용하는 것이다.
bcrypt는 비밀번호를 위해 만들어진, 단방향 해쉬함수의 취약점을 보완한 암호화 방법이다.

Salting은 실제 비밀번호 이외에 랜덤데이터를 추가하여 해시값을 늘린다.
그래서 암호의 길이를 늘린 후 역추적의 경우의 수를 늘려 해쉬테이블을 만들지 못하도록 한다.
Key Stretching을 사용하는데 단방향 해쉬함수를 여러 번 반복해서 해시값을 계산하는 방법이다.
key stretching은 암호화 하는 속도를 늦춰 로그인 시 지연이 살짝 발생할 수 있다.
하지만 컴퓨터의 성능이 향상되는 만큼 암호화 반복횟수를 늘려 암호화 보완이 가능하다.

JWT란?

JWT 는 (JSON Web Token)으로 JSON 구문으로 작성된 웹 토큰, 로그인에 성공하게 되면 access token을 발급받는다.

access token에는 몇 가지 종류가 있지만 가장 많이 사용하는 기술중 하나가 JWT이다.

JWT는 유저정보를 담은 JSON데이터를 암호화하여 클라이언트와 서버간에 주고 받게 된다.

JWT발급과 사용

1. 사용자 회원가입
2. 인증서버에서 JWT생성
3. 사용자에게 JWT 전달
4. 사용자는 JWT를 통해 서비스 이용

인가 Authorization 란 무엇인가?

사용자가 요청을 실행할 수 있는 권한이 있는지 확인하는 절차이다.

JWT를 통해 구현하고 access token으로 사용자 정보를 얻을 수 있으므로 권한을 확인 가능하다.

유저는 요청을 보낼 때 encoding 된 access token을 함께 첨부하며, 서버는 access token을 decoding을 통해 데이터를 확인, 유저 정보를 얻는다. 서버에서 해당 유저 정보를 통해 권한(permission)을 확인하며 해당 요청을 처리하게 된다.

[allauth] allauth란?

lution88 — Tue, 23 Aug 2022 23:40:57 +0900

Django에서 유저기능을 구현할때 기본적으로 사용하는 것은 django.contrib.auth 패키지 입니다.

contrib에는 장고가 빠르고 간편하게 웹개발을 할 수 있도록 이미 완성된 앱 여러개가 포함되어 있다.
auth, admin, staticfiles 등 다양한 contrib 앱들이 있다.
auth는 authentication으로 유저 인증(유저의 아이디와 비밀번호를 확인하는 절차)을 뜻한다.

django.contrib.auth 안에는 유저기능을 구현하기 위한 유저모델 User model과 /login, /logout 과 같은 url패턴을 정리하는 urls 파일,

그래서 우리는 이 코드들을 프로젝트에 가져와서 사용하기만 하면 비교적 쉽게 원하는 유저 시스템을 만들 수 있죠.

Django-allauth

"django-allauth" 또한 django.contrib.auth 처럼 유저기능을 위한 패키지 입니다.

allauth는 django에 기본적으로 포함되어 있지 않기 때문에 따로 설치를 합니다.

allauth 안에도 유저기능을 위한 urls, views 그리고 forms 같은 앱들이 있는데 django.contrib.auth와 달리 유저모델User model은 포함되어 있지 않습니다.

그래서 보통 django-allauth를 사용할 때 유저모델은 django.contrib.auth의 유저모델을 사용하고

나머지 유저 기능들은 allauth를 사용하는 경우가 일반적 입니다.

django-allauth는 실제 존재하는 이메일인지 확인하는 '이메일인증', 소셜 서비스를 이용해서 로그인 하는 '소셜 로그인' 등을 제공합니다.

소셜로그인은 이미 존재하는 계정(구글, 페이스북, 카카오톡 등)들로 로그인 하는 것을 뜻합니다.

django-allauth를 이용해서 일반 로그인 시스템을 구현해놓는다면 나중에 소셜로그인도 쉽게 추가할 수 있는 확장성면의 장점이 있습니다.

allauth 셋업

모든 순서는 allauth 공식페이지 installation을 보면 수월합니다!

1. allauth 설치

pip install django-allauth

2. settings.py에서 allauth 설정하기

- AUTHENTICATION_BACKENDS 추가('''주석은 해제''')

- INSTALLED_APPS 에 필요한 앱들을 추가한다.

공식문서를 보면 INSTALLED_APPS 에 추가할 항목들이 나와있다. 픽해서 세팅스에 넣는다!

필요에 따라 SITE_ID = n 이라는 설정을 settings에 추가해준다.
django.contrib.sites는 어떤 기능을 여러 웹 사이트에서 사용할 수 있도록 해주는데,

비슷한 컨텐츠나 기능을 갖고있는 웹 사이트가 여러 개 필요할 때는 django.contrib.sites를 사용해서

django프로젝트 하나로 여러 웹 사이트를 운영할 수 있다.

SITE_ID 는 위와 같은 상황에서 각각의 사이트의 아이디라고 볼 수 있다.

웹 사이트를 하나만 만들거면 SITE_ID = 1 으로 settings.py에 설정해주면 된다.

3. urls.py 에 path 추가

- allauth에서 제공하는 URL 들을 사용하기 위해서 프로젝트의 urls.py에 path를 추가한다.

4. migrate 진행.

여기까지 진행했으면 allauth 기본 셋업은 모두 완료되었다!

OSI 7 계층이란?

lution88 — Sun, 14 Aug 2022 17:50:48 +0900

OSI 7계층이란 통신이 일어나는 일련의 과정을 7단계로 정의한 국제 통신 표준 규약입니다.

계급과 상하구조가 존재하며 각 계층은 독립되어 있습니다.

특정한 곳에 이상이 생기면 그 단계만 수정할 수 있습니다.

OSI 7 계층

☞ 물리 계층 (Physical Layer)

물리계층은 비트단위의 데이터를 전기신호로 변환하여 전송하는 역할을 한다.
단지 데이터를 전송할 뿐 데이터가 무엇인지 어떤 오류가 있는지 등은 신경쓰지 않는다.
단위는 bit 이고 관련장비는 케이블, 리피터, 허브가 있다.

☞ 데이터 링크 계층 (Data Link Layer)

데이터 링크 계층은 물리계층에서 송수신되는 정보의 오류와 흐름을 관리하여 안전한 정보의 전달을 수행할 수 있도록 도와준다.
MAC 주소를 통해 통신한다.
frame에 MAC 주소를 부여하고 에러검출, 재전송, 흐름 제어를 진행한다.
단위는 frame 이고 관련 장비는 브릿지, 스위치 등이 있다.

☞ 네트워크 계층 (Network Layer)

네트워크 계층은 데이터(패킷)을 목적지까지 안전하고 빠르게 전달하는 기능을 담당한다.
라우터를 통해 이동할 경로를 선택하고, IP주소를 지정하여 해당 경로에 따라 패킷을 전달한다.
단위는 packet 이고 관련 장비로는 라우터가 있다.

☞ 전송 계층 (Transport Layer)

최종 수신 프로세스로 실제 데이터의 전송을 담당한다.
TCP, UDP 프로토콜을 통해 통신을 활성화한다.
Port를 열어두고 프로그램들이 전송할 수 있도록 제공한다.
단위는 Segment 이고 관련 장비는 TCP, UDP 가 있다.

☞ 세션 계층 (Session Layer)

세션계층은 데이터가 통신하기 위한 논리적 연결을 담당한다.
TCP/IP 세션을 만들고 없애는 책임을 지니고 있다.
송수신간의 관련성 유지, 대화 제어를 담당한다.
동기 제어, 데이터 교환 관리

☞ 표현 계층 (Presentation Layer)

데이터 표현에 대한 독립성을 제공하고 암호화하는 역할을 담당한다.
파일 인코딩, 명령어 포장, 압축, 암호화를 한다.

☞ 응용 계층 (Application Layer)

응용 프로세스를 직접 사용하여 직접적인 응용 서비스를 수행하는 계층이다.
FTP, HTTP, SMTP 등과 같은 프로토콜들이 속해있다.

HTTP 메소드

lution88 — Sat, 13 Aug 2022 18:23:42 +0900

HTTP의 메소드는 클라이언트가 서버에게 사용자 요청을 알리는 수단입니다.

메소드의 종류로는 GET, POST, PUT, PATCH, DELETE 가 있습니다.

- GET : 데이터 조회

- POST : 요청 데이터 처리

- PUT : 데이터 수정

- PATCH : 일부 데이터 수정

- DELETE : 데이터 삭제

Q. GET 과 POST의 차이는?

GET은 클라이언트에서 서버로 어떠한 정보를 요청 위해 사용되는 메소드입니다.

서버에서 어떤 데이터를 가져와서 보여줄 때 값이나 내용, 상태 등을 바꾸지 않는 경우 사용합니다.

GET은 리소스를 쿼리스트링으로 전달합니다.

POST는 리소스를 생산/업데이트 하기 위해 서버에 데이터를 보내는 데 사용되는 메소드입니다.

서버상의 데이터 값이나 상태를 바꾸기 위해서 사용합니다.

POST는 리소스를 HTTP Body로 전달합니다.

GET과 POST의 주요 차이점은 GET 요청은 캐시가 되고, POST는 캐시가 되지 않는다는 것입니다.

GET은 브라우저에 기록이 되지만, POST는 기록이 되지 않습니다.

- 캐시란 한번 접근 후, 다시 요청할 시 빠르게 접근하기 위해서 레지스터에 데이터를 저장시켜 놓는 것을 말합니다.

	GET	POST
캐시	O	X
브라우저 기록	O	X
북마크 추가	O	X
데이터 길이 제한	O	X
HTTP 응답 코드	200(OK)	201(Created)
언제 주로 사용되는가?	리소스 요청	리소스 생성
리소스 전달 빵식	쿼리스트링	HTTP Body
idempotent	O	X

- idempotent 멱등성 : 연산의 한 성질로, 연산을 여러 번 적용 하더라도 결과가 달라지지 않는 성질을 의미한다.

HTTP의 상태코드

lution88 — Sat, 13 Aug 2022 17:53:41 +0900

HTTP의 상태코드는 1xx번대부터 5xx번대까지 있습니다.

1xx 번대는 정보확인에 대한 상태코드이고,

2xx 번대는 통신 성공, 3xx 번대는 리다이렉트, 4xx 번대는 클라이언트 에러, 5xx 번대는 서버 에러를 나타냅니다.

1xx 번대 : 정보 확인

2xx 번대 : 통신 성공

- 200 : OK, 요청 성공(GET)

- 201 : Create, 생성 성공(POST)

3xx 번대 : 리다이렉트

4xx 번대 : 클라이언트 에러

- 400 : Bad Request, API에서 정의되지 않은 요청이 들어온 경우

- 401 : Unauthorized, 인증 오류

- 403 : Forbidden, 권한 밖의 접근 시도

- 404 : Not Found, 요청 URI에 대한 리소스가 존재하지 않는 경우

5xx 번대 : 서버 에러

- 500 : Internal Server Error, 서버 내부 오류

- 502 : Bad Gateway, 게이트웨이 오류

- 503 : Service Unavailable, 서비스 이용 불가

- 504 : Gateway Timeout, 게이트웨이 시간 초과

HTTPS 란?

lution88 — Sat, 13 Aug 2022 17:42:53 +0900

HTTPS란 http에 암호화가 추가된 프로토콜입니다.

http는 평문 데이터를 전송하는 프로토콜이기 때문에 http로 비밀번호, 주민번호 등 보안이 필요한 데이터를 주고받는 경우,

제 3자에 의해서 조회가 될 수 있습니다.

이를 방지하기 위해 http에 암호화가 추가된 프로토콜(SSL)이 https 입니다.

즉, HTTPS는 SSL 프로토콜을 사용해 클라이언트와 서버가 자원을 주고 받을 때 사용하는 통신규약인 것이죠.

- SSL : Secure Socket Layer

: 보안 소켓 계층으로 웹 사이트와 브라우저 사이에 전송되는 데이터를 암호화하여 인터넷 연결을 보호하기 위한 표준 기술.

- HTTP : HTTP <-> TCP | HTTPS : HTTP <-> SSL <-> TCP

HTTPS에서는 대칭키 암호화와 비대칭키 암호화가 모두 사용됩니다.

비대칭키 암호화/복호화는 비용이 매우 크므로, 서버와 클라이언트가 주고 받는 모든 메시지를 비대칭키로 암호화하면

오버헤드가 발생할 수 있습니다.

그래서 서버와 클라이언트가 최초 1회 서로 대칭키를 주고받을 때 비대칭키를 사용하고,

이후 메세지를 주고받을 때는 주고받은 대칭키로 암호화/복호화를 합니다.

암호화 과정

클라이언트가 서버로 최초 연결을 시도합니다.
서버는 공개키(인증서)를 브라우저에게 넘겨줍니다.
브라우저는 인증서의 유효성을 검사하고 세션키를 발급합니다.
브라우저는 세션키를 보관하고 추가로 서버의 공개키로 세션키를 암호화하여 서버로 전송합니다.
서버는 전송받은 세션키를 자신의 공개키를 사용하여 복호화 하여 세션키를 얻습니다.
클라이언트와 서버는 동일한 세션키를 공유하므로 이 후 데이터를 전달할 때는 세션키로 암호화/복호화를 진행합니다.
공개키로 암호화된 메세지는 개인키를 가지고 있어야만 복호화가 되기 때문에 서버(기업)을 제외한 누구도 알 수 없습니다.

HTTP란?

lution88 — Sat, 13 Aug 2022 17:33:56 +0900

HTTP란 무엇인가요?

HTTP란 Hyper Text Transfer Protocol 로 평문 데이터를 주고 받을 수 있는 프로토콜로, 서버/클라이언트 모델을 따릅니다.

http는 method, path, version, header, body로 구성되어 있습니다.

HTTP는 상태 정보를 저장하지 않는 stateless 특징과 클라이언트 요청에 맞는 응답을 하고 연결을 끊는 connectless 특징이 있습니다.
- Stateless 는 연결을 끊으면 클라이언트와 서버의 접속이 끝나며, 상태정보는 유지하지 않는 것을 말합니다.
- Connectless 는 클라이언트 요청에 맞는 응답을 한 뒤 연결을 끊는 것을 말합니다.

http의 장점은 통신 간의 연결 상태 처리나 상태 정보를 관리할 필요가 없기 때문에 서버 디자인이 간단합니다.

또 각각의 http 요청에 독립적으로 응답만 보내주면 됩니다.

http의 단점은 이전 통신의 정보를 모르기 때문에 매번 인증을 해줘야 한다는 것입니다.

이를 해결하기 위해 쿠키나 세션을 사용해서 데이터를 처리해야 합니다.

[TIL] 파이썬 리스트 join 활용하기

lution88 — Wed, 4 May 2022 16:52:19 +0900

파이썬 기초 300제를 풀다가 몰랐던 기능을 배워서 정리해보려고 합니다.

바로 "join 함수" .

파이썬의 join 함수는 다음과 같은 형태를 갖습니다.

1. "".join(리스트)

2. "구분자".join(리스트)

join함수는 매개변수로 들어온 리스트에 있는 요소들을 하나하나 합쳐서 하나의 문자열로 바꾸고 리턴해줍니다.

즉, a = ['apple', 'banana', 'cake'] 라는 리스트가 있을 때 join을 사용하면 하나의 문자열로 리스트의 원소를 모두 보여주는 것이죠.

a = ['apple', 'banana', 'cake']

print("".join(a))
print(' '.join(a))
print('/'.join(a))
print('_'.join(a))
print('\n'.join(a))

applebananacake
apple banana cake
apple/banana/cake
apple_banana_cake
apple
banana
cake

구분자를 사용하면 원소과 원소 사이에 구분자를 넣어서 문자열을 리턴해 줍니다.

구분자로 '\n' 을 사용하면 원소 사이사이 한 줄씩 줄바꿈도 넣을 수 있습니다.

join 함수를 잘 몰랐을 때는 반복문을 돌려서 하나하나 문자열을 추가해 주는 방법을 사용했었는데 이런 편리한 기능이 있다는 것을 이제야 알았네요..

파이썬은 하면 할수록 만들어진 편리한 기능이 많은 거 같습니다!!

[TIL] Django를 쓰지 않고 mysql 서버에서 datetime의 default값을 사용하는 방법

lution88 — Wed, 27 Apr 2022 00:28:03 +0900

TIMESTAMP와 DATETIME은 모두 자동으로 초기화를 할 수 있으며, 현재 시간값(current timestamp)으로 업데이트가 가능하다.

DEFAULT 값에 CURRENT_TIMESTAMP 를 넣으면 디폴트 값으로 현재 시각을 넣을 수 있다.

created_at 과 updated_at을 모델에서 DateTimeField로 auto_now_add 혹은 auto_now 를 True로 주고 만들었기 때문에 장고를 이용하면 자동적으로 시간이 들어가게 되지만 DB-TABLE 에서 수동으로 데이터를 넣으려고 하면 updated_at, created_at 이 null 이기 때문에 에러가 나게 된다.

수동으로 데이터를 저장할 시 nulll로 인해 에러가 발생.

이 때, 테이블에서 updated_at 과 created_at의 Type을 datetime 으로 주고 Default를 CURRENT_TIMESTAMP 로 바꿔주게 되면 수동으로 데이터를 저장해도 updated_at과 created_at이 현재 시각으로 잘 들어가게 됩니다.

Default 값을 CURRENT_TIMESTAMP로 바꿔줍니다.

현재시각이 잘 들어가게 됩니다!

[Django] 모델 작성하기!

lution88 — Wed, 20 Apr 2022 18:51:10 +0900

모델Model 작성하기

1. 사용할 데이터 확인
2. 데이터 모델링
3. 데이터에 맞는 Field 작성
4. 모델 생성 및 변경사항 Django에 반영하기.

1. 사용할 데이터 확인.
먼저 모델에 들어갈 데이터가 어떤 것이 있는지 확인합니다.
food_detail을 보면 name, description, price, img_path 4가지로 구성되어 있고,
name, description, img_path 는 문자열, price는 숫자로 되어 있습니다.

2. 데이터 모델링.
데이터를 확인했으면 다음은 모델을 작성해 줍니다.
모든 모델은 class로 구성되고, 모델 클래스는 django의 models.Model을 상속받아서 만들어지게 됩니다.
class Menu(models.Model):
    name = models.CharField(max_length=50)
    description = models.CharField(max_length=100)
    price = models.IntegerField()
    img_path = models.CharField(max_length=255)
    
    def __str__(self):
    	return self.name
3. 데이터에 맞는 Field 작성.
음식 이름을 저장할 구조를 만들어주고 각 데이터에 대한 필드를 지정해 줍니다.
CharField는 저장할 최대 길이를 필수인수로 넘겨줘야 합니다. (max_length)
가격은 숫자니까 IntegerField를 사용합니다.
Menu 클래스를 하나의 문자열로 표현해 주기 위해서 __str__ 함수를 지정해 줄 수 있습니다.

4. 모델 생성 및 변경사항 Django에 반영하기.
- 모델을 생성 시
python manage.py makemigrations
makemigrations를 실행해서 모델을 생성 혹은 변경시킨 사항을 migration으로 저장합니다.

- 생성한 모델 혹은 수정한 모델을 Django에 알려주기.
python manage.py migrate
migrate 하게되면 모델에서의 변경사항들과 데이터베이스의 스키마의 동기화가 이루어지게 됩니다.