Symfony REST API 보안: JWT 인증과 면접 질문 2026년 완벽 가이드

Symfony REST API 보안 구현에 대한 종합 가이드. JWT 인증, 방화벽 설정, 리프레시 토큰, 그리고 2026년 기술 면접에서 자주 출제되는 질문과 답변을 다룬다.

Symfony REST API 보안: JWT 인증과 면접 질문 2026년 완벽 가이드

Symfony REST API 보안은 인증, 인가, 그리고 적절한 토큰 관리의 조합으로 구성된다. LexikJWTAuthenticationBundle 버전 3.2는 Symfony 7.2와 PHP 8.3을 지원하며, 프로덕션 환경의 API에서 JWT 기반 인증을 위한 견고한 기반을 제공한다.

JWT 인증 흐름

클라이언트는 /api/login_check로 자격 증명을 전송한다. 서버는 이를 검증하고, 개인 키로 서명된 JWT를 생성하여 반환한다. 이후의 요청에서는 이 토큰을 Authorization 헤더에 포함하여 상태 비저장(stateless) 인증을 수행한다.

LexikJWTAuthenticationBundle 설치 및 설정

이 번들은 Symfony의 보안 컴포넌트와 통합되어 토큰 생성, 검증, 그리고 토큰 페이로드에서 사용자 로딩을 처리한다.

bash
# 번들 설치
composer require lexik/jwt-authentication-bundle

# 토큰 서명을 위한 RSA 키 쌍 생성
php bin/console lexik:jwt:generate-keypair

키 쌍 명령어는 config/jwt/private.pem과 config/jwt/public.pem을 생성한다. 이 키들은 토큰 서명과 검증에 사용된다. 패스프레이즈는 JWT_PASSPHRASE 환경 변수에 저장한다.

yaml
# config/packages/lexik_jwt_authentication.yaml
lexik_jwt_authentication:
    secret_key: '%env(resolve:JWT_SECRET_KEY)%'
    public_key: '%env(resolve:JWT_PUBLIC_KEY)%'
    pass_phrase: '%env(JWT_PASSPHRASE)%'
    token_ttl: 3600  # 1시간

token_ttl 설정은 토큰 수명을 제어한다. 짧은 수명의 토큰은 토큰 탈취 시 악용 가능한 시간 창을 줄여준다.

API 방화벽 설정

Symfony의 보안 컴포넌트는 API 라우트를 보호하기 위해 방화벽 설정이 필요하다. json_login 인증기가 자격 증명 검증을 처리하고, jwt가 후속 요청을 보호한다.

yaml
# config/packages/security.yaml
security:
    enable_authenticator_manager: true
    
    providers:
        app_user_provider:
            entity:
                class: App\Entity\User
                property: email
    
    firewalls:
        login:
            pattern: ^/api/login
            stateless: true
            json_login:
                check_path: /api/login_check
                success_handler: lexik_jwt_authentication.handler.authentication_success
                failure_handler: lexik_jwt_authentication.handler.authentication_failure
        
        api:
            pattern: ^/api
            stateless: true
            jwt: ~
    
    access_control:
        - { path: ^/api/login, roles: PUBLIC_ACCESS }
        - { path: ^/api/docs, roles: PUBLIC_ACCESS }
        - { path: ^/api, roles: IS_AUTHENTICATED_FULLY }

stateless: true 설정은 세션 생성을 방지한다. 각 요청은 Authorization 헤더의 JWT를 통해 독립적으로 인증된다.

사용자 엔티티와 비밀번호 해싱 구현

User 엔티티는 UserInterface와 PasswordAuthenticatedUserInterface를 구현한다. Symfony 7.2에서 이러한 인터페이스들은 인증과 비밀번호 검증을 처리한다.

php
<?php

namespace App\Entity;

use Doctrine\ORM\Mapping as ORM;
use Symfony\Component\Security\Core\User\PasswordAuthenticatedUserInterface;
use Symfony\Component\Security\Core\User\UserInterface;

#[ORM\Entity]
#[ORM\Table(name: 'users')]
class User implements UserInterface, PasswordAuthenticatedUserInterface
{
    #[ORM\Id]
    #[ORM\GeneratedValue]
    #[ORM\Column]
    private ?int $id = null;

    #[ORM\Column(length: 180, unique: true)]
    private ?string $email = null;

    #[ORM\Column]
    private array $roles = [];

    #[ORM\Column]
    private ?string $password = null;

    public function getUserIdentifier(): string
    {
        return (string) $this->email;
    }

    public function getRoles(): array
    {
        $roles = $this->roles;
        $roles[] = 'ROLE_USER';
        return array_unique($roles);
    }

    public function getPassword(): ?string
    {
        return $this->password;
    }

    public function eraseCredentials(): void
    {
        // 임시 민감 데이터가 있다면 여기서 제거
    }
}

리프레시 토큰 구현

짧은 수명의 액세스 토큰은 리프레시 토큰과 함께 사용할 때 보안이 향상된다. JWTRefreshTokenBundle이 이 기능을 제공한다.

bash
composer require gesdinet/jwt-refresh-token-bundle
yaml
# config/packages/gesdinet_jwt_refresh_token.yaml
gesdinet_jwt_refresh_token:
    refresh_token_lifetime: 2592000  # 30일
    user_identity_field: email
    token_parameter_name: refresh_token
    user_provider: security.user.provider.concrete.app_user_provider

리프레시 토큰은 데이터베이스에 저장되며, 액세스 토큰이 만료될 때 새 토큰을 얻는 데 사용된다.

yaml
# config/packages/security.yaml에 추가
firewalls:
    refresh:
        pattern: ^/api/token/refresh
        stateless: true
yaml
# config/routes.yaml
api_refresh_token:
    path: /api/token/refresh
    controller: gesdinet.jwtrefreshtoken::refresh

커스텀 JWT 페이로드 추가

JWT 페이로드에 커스텀 클레임을 추가하여 토큰에 추가 사용자 정보를 포함할 수 있다. 이벤트 구독자를 사용하여 이를 구현한다.

php
<?php

namespace App\EventSubscriber;

use Lexik\Bundle\JWTAuthenticationBundle\Event\JWTCreatedEvent;
use Symfony\Component\EventDispatcher\EventSubscriberInterface;

class JWTCreatedSubscriber implements EventSubscriberInterface
{
    public static function getSubscribedEvents(): array
    {
        return [
            'lexik_jwt_authentication.on_jwt_created' => 'onJWTCreated',
        ];
    }

    public function onJWTCreated(JWTCreatedEvent $event): void
    {
        $user = $event->getUser();
        $payload = $event->getData();

        $payload['user_id'] = $user->getId();
        $payload['roles'] = $user->getRoles();

        $event->setData($payload);
    }
}

API 레이트 리미팅 구현

브루트 포스 공격과 API 남용을 방지하기 위해 레이트 리미팅은 필수적이다. Symfony 7.2의 RateLimiter 컴포넌트를 사용한다.

yaml
# config/packages/rate_limiter.yaml
framework:
    rate_limiter:
        api_limiter:
            policy: sliding_window
            limit: 100
            interval: '1 minute'
        login_limiter:
            policy: fixed_window
            limit: 5
            interval: '15 minutes'
php
<?php

namespace App\EventSubscriber;

use Symfony\Component\EventDispatcher\EventSubscriberInterface;
use Symfony\Component\HttpKernel\Event\RequestEvent;
use Symfony\Component\HttpKernel\Exception\TooManyRequestsHttpException;
use Symfony\Component\RateLimiter\RateLimiterFactory;

class RateLimitSubscriber implements EventSubscriberInterface
{
    public function __construct(
        private RateLimiterFactory $apiLimiter,
    ) {}

    public static function getSubscribedEvents(): array
    {
        return [
            RequestEvent::class => 'onKernelRequest',
        ];
    }

    public function onKernelRequest(RequestEvent $event): void
    {
        $request = $event->getRequest();
        
        if (!str_starts_with($request->getPathInfo(), '/api')) {
            return;
        }

        $limiter = $this->apiLimiter->create($request->getClientIp());
        $limit = $limiter->consume();

        if (!$limit->isAccepted()) {
            throw new TooManyRequestsHttpException(
                $limit->getRetryAfter()->getTimestamp() - time()
            );
        }
    }
}

입력 검증과 새니타이제이션

API 보안에는 적절한 입력 검증이 필수적이다. Symfony의 Validator 컴포넌트를 활용한다.

php
<?php

namespace App\DTO;

use Symfony\Component\Validator\Constraints as Assert;

class CreateUserRequest
{
    #[Assert\NotBlank]
    #[Assert\Email]
    public string $email;

    #[Assert\NotBlank]
    #[Assert\Length(min: 8, max: 128)]
    #[Assert\Regex(
        pattern: '/^(?=.*[a-z])(?=.*[A-Z])(?=.*\d)/',
        message: '비밀번호는 소문자, 대문자, 숫자를 포함해야 합니다'
    )]
    public string $password;

    #[Assert\NotBlank]
    #[Assert\Length(min: 2, max: 100)]
    public string $name;
}

CORS 설정 최적화

크로스 오리진 요청을 적절히 처리하기 위해 NelmioCorsBundle을 설정한다.

yaml
# config/packages/nelmio_cors.yaml
nelmio_cors:
    defaults:
        allow_origin: ['%env(CORS_ALLOW_ORIGIN)%']
        allow_methods: ['GET', 'POST', 'PUT', 'PATCH', 'DELETE', 'OPTIONS']
        allow_headers: ['Content-Type', 'Authorization', 'X-Requested-With']
        expose_headers: ['Link', 'X-Total-Count']
        max_age: 3600
    paths:
        '^/api/':
            allow_origin: ['%env(CORS_ALLOW_ORIGIN)%']
            allow_credentials: true

면접에서 자주 묻는 질문과 답변

Q1: JWT와 세션 기반 인증의 차이점은 무엇입니까?

JWT는 상태 비저장(stateless)이며, 서버 측에서 세션 상태를 유지할 필요가 없다. 토큰 자체에 필요한 정보가 포함되어 있어 수평 확장이 용이하다. 반면 세션 기반 인증은 서버 측에서 세션 데이터를 유지하며, Redis 등의 세션 스토리지 공유가 필요하다.

Q2: 토큰 무효화를 어떻게 구현합니까?

JWT는 상태 비저장이므로 표준 무효화 메커니즘이 없다. 일반적인 접근 방식으로는 블랙리스트 구현(Redis에 토큰 저장), 짧은 수명과 리프레시 토큰 조합, 또는 토큰 버저닝이 있다.

php
// 블랙리스트 구현 예시
public function blacklistToken(string $token): void
{
    $decoded = $this->jwtEncoder->decode($token);
    $ttl = $decoded['exp'] - time();
    
    $this->redis->setex(
        'blacklist:' . hash('sha256', $token),
        $ttl,
        '1'
    );
}

Q3: API 보안 모범 사례는 무엇입니까?

  • HTTPS 강제 사용
  • 적절한 CORS 설정
  • 레이트 리미팅 구현
  • 입력 검증과 새니타이제이션
  • 보안 헤더 설정(CSP, X-Content-Type-Options 등)
  • 민감 데이터 로깅 방지
  • 정기적인 의존성 업데이트

Q4: Symfony에서 역할 기반 접근 제어(RBAC)를 어떻게 구현합니까?

php
#[IsGranted('ROLE_ADMIN')]
public function adminAction(): Response
{
    // 관리자만 접근 가능
}

// 또는 Voter를 사용한 세분화된 제어
class PostVoter extends Voter
{
    protected function supports(string $attribute, mixed $subject): bool
    {
        return in_array($attribute, ['EDIT', 'DELETE'])
            && $subject instanceof Post;
    }

    protected function voteOnAttribute(
        string $attribute,
        mixed $subject,
        TokenInterface $token
    ): bool {
        $user = $token->getUser();
        
        return match($attribute) {
            'EDIT' => $subject->getAuthor() === $user,
            'DELETE' => in_array('ROLE_ADMIN', $user->getRoles()),
            default => false,
        };
    }
}

Q5: SQL 인젝션 방지는 어떻게 수행합니까?

Doctrine의 쿼리 빌더 또는 프리페어드 스테이트먼트를 항상 사용한다. 사용자 입력을 직접 쿼리에 삽입하는 것은 절대 피해야 한다.

php
// 안전한 쿼리
$query = $em->createQuery(
    'SELECT u FROM App\Entity\User u WHERE u.email = :email'
)->setParameter('email', $email);

// 위험한 쿼리 (절대 사용 금지)
$query = $em->createQuery(
    "SELECT u FROM App\Entity\User u WHERE u.email = '$email'"
);

Q6: API 버전 관리 전략에 대해 설명해 주세요

API 버전 관리에는 세 가지 주요 접근 방식이 있다:

  1. URL 경로 버전 관리: /api/v1/users, /api/v2/users
  2. 헤더 버전 관리: Accept: application/vnd.api.v1+json
  3. 쿼리 파라미터: /api/users?version=1

Symfony에서는 라우트 프리픽스나 커스텀 요청 매처를 통해 구현할 수 있다.

Q7: JWT 토큰 갱신 시 보안 고려사항은 무엇입니까?

  • 리프레시 토큰은 액세스 토큰보다 긴 수명을 가짐
  • 리프레시 토큰은 데이터베이스에 저장하여 필요 시 무효화 가능
  • 리프레시 토큰 사용 시 새로운 리프레시 토큰도 함께 발급(토큰 로테이션)
  • 리프레시 토큰 엔드포인트에도 레이트 리미팅 적용

Symfony 면접 준비가 되셨나요?

인터랙티브 시뮬레이터, flashcards, 기술 테스트로 연습하세요.

Symfony 탐색하기

결론

Symfony REST API 보안은 다층적인 접근 방식이 필요하다. LexikJWTAuthenticationBundle을 통한 JWT 인증 구현, 적절한 방화벽 설정, 리프레시 토큰을 통한 보안 강화, 그리고 레이트 리미팅과 입력 검증 같은 추가 방어 계층이 견고한 API를 구축하는 기반이 된다.

면접에서는 이러한 기술적 구현뿐만 아니라, 각 보안 대책의 이유와 그것들이 어떻게 함께 작동하는지 설명할 수 있어야 한다. 실제 프로젝트 경험과 결합하여 보안에 대한 깊은 이해를 보여주는 것이 중요하다.

오늘의 챌린지

Symfony 코드의 버그를 찾을 수 있나요

실제 코드 한 조각, 숨은 버그 하나, 하루 한 번. 계정 없이 바로 도전할 수 있습니다.

도전하기
Anthony Fillion-Maillet

작성자

Anthony Fillion-Maillet

SharpSkill 창업자

10년 이상 풀스택 개발을 해왔습니다. SharpSkill을 운영하며 이곳에 게시되는 모든 내용에 책임을 집니다.

2026년 8월 26일 업데이트

공유

관련 기사

Symfony REST API Security 2026

2026년 Symfony REST API 보안 완벽 가이드: OAuth2, 속도 제한, 면접 대비

Symfony 7.3에서 구현하는 REST API 보안 실무 가이드. OAuth2 토큰 인트로스펙션, RateLimiter 컴포넌트, Voter 인가, 기술 면접 대비를 다룹니다.

API Platform Symfony 2026 아키텍처 및 면접 가이드

2026년 API Platform과 Symfony: 아키텍처 설계 및 기술 면접 완벽 가이드

API Platform 4.2와 Symfony 7.4를 활용한 REST API 개발 최신 기법을 상세히 설명합니다. State Provider, State Processor, Object Mapper, JSON Streamer를 통한 32% 성능 향상까지, 기술 면접에서 자주 묻는 핵심 개념을 다룹니다.

API Platform GraphQL Symfony: 스키마, 뮤테이션, 면접 질문 2026

API Platform GraphQL Symfony: 스키마, 뮤테이션, 면접 질문 2026

Symfony에서 API Platform GraphQL을 구현하는 방법을 설명합니다. 자동 스키마 생성, 커스텀 리졸버, 보안 설정, 실시간 구독, 기술 면접 질문과 답변을 다룹니다.