API Security Checklist

API Security Checklist — 웹앱 API 보안 체크리스트

backend-dev 에이전트가 API 개발 시 활용하는 OWASP 기반 보안 체크리스트, 인증 패턴, 방어 코드 가이드.

대상 에이전트

backend-dev — 이 스킬의 보안 체크리스트를 API 구현에 직접 적용한다.

OWASP API Security Top 10 점검

인증 (Authentication) 패턴

JWT 기반 인증

비밀번호 정책

• 최소 8자, 대소문자+숫자+특수문자 권장 (강제보다 강도 표시)
• bcrypt (cost factor 12+) 또는 Argon2id
• 비밀번호 히스토리 (최근 5개 재사용 금지)
• 로그인 실패 5회 시 임시 잠금 (15분) 또는 CAPTCHA

인가 (Authorization) 패턴

RBAC (역할 기반)

역할 정의: admin, manager, user, viewer
권한 매핑:
  admin    → *.* (전체)
  manager  → resource.create, resource.read, resource.update
  user     → resource.create (own), resource.read (own)
  viewer   → resource.read (public)

미들웨어 체인

요청 → [Rate Limit] → [인증: JWT 검증] → [인가: 역할 확인] → [입력 검증] → 핸들러

입력 검증 체크리스트

HTTP 보안 헤더

CORS 설정 가이드

필수 설정:

• methods: 필요한 메서드만 허용
• allowedHeaders: 필요한 헤더만
• credentials: 쿠키 필요 시에만 true
• maxAge: 프리플라이트 캐싱 (86400초)

Rate Limiting 전략

응답 헤더

X-RateLimit-Limit: 100
X-RateLimit-Remaining: 95
X-RateLimit-Reset: 1609459200
Retry-After: 60 (429 응답 시)

에러 응답 보안

프로덕션 에러 응답 규칙

• 내부 구현 세부사항 절대 노출 금지 (스택 트레이스, SQL 쿼리)
• 일관된 에러 형식 사용
• 열거 공격 방지: 로그인 실패 시 "이메일 또는 비밀번호가 올바르지 않습니다" (어느 것이 틀렸는지 X)

에러 응답 형식

{
  "error": {
    "code": "VALIDATION_ERROR",
    "message": "입력값이 올바르지 않습니다",
    "details": [
      {"field": "email", "message": "유효한 이메일을 입력하세요"}
    ]
  }
}

민감 데이터 처리