7 Security Checks Before Shipping an AI-Built Next.js + Supabase App

개요

AI 코딩 도우미는 Next.js와 Supabase를 사용하는 애플리케이션 개발 속도를 높일 수 있지만, 생성된 코드의 보안 취약점은 여전히 주의 깊게 검토해야 한다.

주요 내용

• 노출된 비밀 정보 검색: Git 저장소, 클라이언트 번들, 빌드/애플리케이션 로그에서 서비스-룰 키, API 키, 환경 파일 등 비밀 정보 노출 여부를 확인해야 한다. Git 히스토리, 빌드 아티팩트, 로그 등에 노출된 비밀 정보가 남아있을 수 있으므로, 노출 시에는 단순히 제거하는 것보다 비밀 정보를 로테이션하는 것이 안전하다.
• 서버 측 권한 부여 검증: 모든 민감한 라우트, 서버 액션, API 핸들러는 반드시 서버에서 호출자의 신원과 권한을 검증해야 한다. 프론트엔드에서 제공된 사용자 ID, 조직 ID, 역할, 소유권 필드를 신뢰해서는 안 되며, 검증된 세션 또는 토큰에서 신원을 파생하여 쿼리에 사용해야 한다.
• 행 수준 보안(RLS) 적대적 테스트: 사용자 소유 또는 테넌트 소유 테이블에 대해 최소 네 가지 경우를 테스트해야 한다. 인증된 사용자가 자신의 데이터에 접근할 수 있는지, 다른 사용자의 데이터에는 접근할 수 없는지, 인증되지 않은 요청이 거부되는지, 삽입 및 업데이트 시 다른 사용자로의 소유권 할당이 불가능한지 확인해야 한다.
• 모든 경계에서의 입력 유효성 검사: 런타임에 TypeScript 타입이 사라지므로, 요청 본문, 쿼리 파라미터, 웹훅 페이로드, 업로드 파일 메타데이터, 구조화된 AI 출력 등을 사용하기 전에 유효성을 검사해야 한다. Zod와 같은 스키마 유효성 검사기를 사용할 수 있으며, 외부 값은 모두 신뢰할 수 없다고 간주해야 한다. 유효성 검사는 형태 외에 최대 길이, 컬렉션 크기, 허용된 열거형 값, 숫자/날짜 범위, 파일 유형/크기 제한, 알 수 없는 필드 처리, 소유권 및 유효한 상태 전환과 같은 비즈니스 규칙까지 포함해야 한다.
• 남용 제어 추가: 인증된 엔드포인트라도 남용될 수 있으므로, AI 생성, 인증 시도, 이메일 전송, 파일 처리, 공개 양식과 같은 비용이 많이 들거나 민감한 작업에 대해 속도 제한을 적용해야 한다. 요청 크기 제한 및 타임아웃 설정도 필요하며, 브라우저에 노출되는 API의 경우 CORS를 의도적으로 구성해야 한다.
• 의존성 및 CI/CD 보안: 애플리케이션 스캔 결과가 안전한 배포 파이프라인을 보장하지는 않으므로, 잠금 파일(lockfiles)이 커밋되고 CI에서 사용되는지, 타사 CI 액션이 고정(pinned)되었는지, 워크플로우 권한이 최소 권한 원칙을 따르는지, 신뢰할 수 없는 풀 리퀘스트가 배포 비밀 정보에 접근할 수 없는지, 보안 작업이 침묵적으로 실패하지 않는지, 종속성 설치가 프로덕션 비밀 정보와 격리되는지, 컨테이너 이미지가 가능한 경우 비-루트 사용자로 실행되는지 확인해야 한다.
• AI 에이전트 권한 및 지침 검토: 에이전트 구성은 자연어로 작성된 실행 가능한 정책이므로, 리포지토리 지침, 도구 권한, 훅, MCP 서버, 자동화된 명령을 소스 코드와 동일한 주의로 검토해야 한다. 개발 편의성을 위해 프로덕션 비밀 정보나 파괴적인 권한을 에이전트에게 부여해서는 안 되며, 최소 권한 도구 접근, 파괴적이거나 외부적인 작업에 대한 명시적 승인, 샌드박스 실행, 개발 및 프로덕션 비밀 정보 분리, 정확한 커밋 및 명령과 연결된 로그, 배포 전 인간 검토를 선호해야 한다.

시사점

AI 개발 도우미는 애플리케이션 구현을 가속화할 수 있지만, 사용자와 프로덕션 환경에 안전한지 여부를 결정하는 데는 여전히 인간의 주의와 검토가 필수적이다.