7 / 9약 25분입문

보안 최소 키트 — 사고 없이 공개

열쇠를 현관 매트 아래(깃허브)에 두지 않기

이 장을 끝내면

시크릿이란

API 키, DB 비밀번호, 토큰처럼 ‘알면 내 서비스에 마음대로 손댈 수 있는 값’입니다. 코드에 하드코딩하거나 채팅·스크린샷에 넣지 않습니다. 유출 의심 시 즉시 재발급(회전).

.env.local 과 깃

환경 변수 파일은 깃에 올리면 안 됩니다. .gitignore에 있는지 확인합니다. 깃허브에 올렸다 싶으면 키를 폐기하고 새로 만듭니다.

지금 하기

브라우저에 노출되는 키

NEXT_PUBLIC_ 으로 시작하는 값은 브라우저에 들어갈 수 있습니다. ‘공개해도 되는 익명 키’만. service_role 같은 만능 키는 서버만, 가능하면 이 단계에서는 사용하지 않기.

입력 검증

제목 길이, URL 형식, 비속어 등은 서버에서도 검사합니다. 화면에서만 막으면 우회됩니다.

에이전트에게 복붙

글 생성 API/액션에 제목 최소 길이·최대 길이·URL 형식 검증을 서버 측에 넣고, 실패 시 친절한 한글 메시지를 반환해줘. 시크릿 스캔 관점으로 코드에 키 문자열이 있는지도 봐줘.

공개 전 체크리스트

[ ] .env 가 저장소에 없음
[ ] 서비스 롤 키가 클라이언트 코드에 없음
[ ] 테스트용으로 DB를 완전히 열어 두었다면 잠글 계획을 적음
[ ] 관리자만 할 수 있는 삭제·수정이 서버에서 거절됨
[ ] 에러 메시지에 내부 경로·키가 안 보임