Code Review by CodeRabit

총평

현재 코드는 SQL 인젝션과 평문 비밀번호 저장/검증 문제가 있어 즉시 수정이 필요합니다. 간헐적인 로그인 실패는 입력값 처리, 중복 사용자, DB 오류, 비밀번호 저장 방식 불일치 등에서 발생할 수 있습니다.

주요 문제

1. SQL 인젝션 — 치명적

const query = `SELECT * FROM users WHERE username = '${username}' AND password = '${password}'`;

사용자 입력을 SQL 문자열에 직접 삽입하고 있습니다. 공격자가 SQL 조건을 조작할 수 있습니다.

' OR '1'='1

처럼 입력하면 인증 우회가 가능할 수 있습니다.

반드시 파라미터 바인딩을 사용해야 합니다.

2. 평문 비밀번호 비교

DB에 비밀번호를 평문으로 저장하거나 SQL에서 직접 비교하는 구조는 안전하지 않습니다. 비밀번호는 bcrypt 또는 argon2로 해시하고 애플리케이션에서 검증해야 합니다.

3. JWT 비밀키 하드코딩

jwt.sign({ id: result[0].id }, 'secret123')

소스 코드에 노출된 짧은 키는 위조될 수 있습니다. 환경 변수와 충분히 긴 랜덤 키를 사용하고 만료 시간도 지정해야 합니다.

4. DB 오류 정보 노출

return res.status(500).send(err.stack);

스택 트레이스에는 SQL, 테이블명, 경로 등 민감한 정보가 포함될 수 있습니다. 상세 오류는 서버 로그에만 기록해야 합니다.

5. 입력값 검증 부족

req.body, username, password가 없거나 문자열이 아닐 수 있습니다.

• 빈 문자열
• 공백 포함 값
• 지나치게 긴 입력
• JSON body parser 미설정
• username의 대소문자/공백 불일치

등이 간헐적인 실패 원인이 될 수 있습니다.

6. 사용자 조회 방식의 문제

username이 중복될 수 있으면 첫 번째 레코드만 사용하게 됩니다.

result[0]

username에 UNIQUE 제약을 설정해야 합니다.

권장 구현

const bcrypt = require('bcrypt');
const jwt = require('jsonwebtoken');

app.post('/login', async (req, res) => {
  try {
    const { username, password } = req.body ?? {};

    if (
      typeof username !== 'string' ||
      typeof password !== 'string' ||
      username.trim() === '' ||
      password.length === 0 ||
      username.length > 100 ||
      password.length > 200
    ) {
      return res.status(400).json({
        message: '아이디와 비밀번호를 확인해 주세요.'
      });
    }

    const normalizedUsername = username.trim();

    const [rows] = await db.promise().query(
      'SELECT id, password_hash FROM users WHERE username = ? LIMIT 1',
      [normalizedUsername]
    );

    const user = rows[0];

    // 존재 여부를 외부에 구분해서 노출하지 않음
    const isValid = user
      ? await bcrypt.compare(password, user.password_hash)
      : false;

    if (!isValid) {
      return res.status(401).json({
        message: '아이디 또는 비밀번호가 올바르지 않습니다.'
      });
    }

    const token = jwt.sign(
      { sub: String(user.id) },
      process.env.JWT_SECRET,
      {
        algorithm: 'HS256',
        expiresIn: '1h'
      }
    );

    return res.json({ token });
  } catch (err) {
    console.error('Login failed:', err);
    return res.status(500).json({
      message: '일시적인 서버 오류가 발생했습니다.'
    });
  }
});

비밀번호 생성 또는 변경 시:

const passwordHash = await bcrypt.hash(password, 12);

DB에는 password_hash만 저장해야 합니다.

간헐적 실패 점검 항목

다음 로그를 민감정보 없이 확인해 보세요.

• express.json()이 라우트보다 먼저 등록되어 있는지
• 요청의 Content-Type: application/json 여부
• DB 커넥션 풀 고갈 또는 타임아웃
• DB 오류 발생률 및 연결 끊김
• 사용자명 앞뒤 공백과 대소문자 처리
• 중복 username 존재 여부
• 기존 평문 비밀번호와 해시 비밀번호가 혼재하는지
• 클라이언트가 만료되었거나 잘못된 토큰을 재사용하는지

추가로 로그인 엔드포인트에는 IP/계정 기준 rate limiting, 감사 로그, HTTPS, 일반화된 오류 메시지를 적용하는 것이 좋습니다.