AI로 제작한 앱을 출시하기 전에 확인하는 4가지 사항

AI 코딩 도구는 작동하는 앱을 빠르게 만들어줍니다. 하지만 실제 사용자에게 노출해도 안전한지 결정짓는, 화려하지 않은 부분들에서는 아직 부족합니다. Cursor, Lovable, Claude 또는 ChatGPT를 이용해 만든 어떤 것이든 출시하기 전에 저는 같은 네 가지 사항을 확인합니다.

1. 외부에 노출된 키와 비밀 정보 (Exposed keys and secrets)

API 키는 레포지토리(repo)에 남게 되는 습성이 있습니다. '일단 작동하게 하려고' 설정 파일에 붙여넣었다가 커밋하고, 그리고 잊어버리는 식입니다. 키, 토큰 또는 연결 문자열처럼 보이는 것이 있다면 오래된 커밋을 포함하여 전체 레포지토리를 검색하세요. 만약 비밀 정보가 한 번이라도 커밋된 적이 있다면 유출된 것으로 간주하고 이를 순환(rotate)시키세요. 단순히 해당 줄을 삭제하는 것만으로는 충분하지 않습니다. 왜냐하면 그 기록은 히스토리(history)에 남아있기 때문입니다.

2. 열린 데이터베이스 (Open databases)

개발 환경에서 작동하는 데이터베이스는 종종 완전히 개방되어 있습니다. 행 수준 규칙이 없거나, 공개 읽기 접근 권한이 있거나, 기본 관리자 계정이 있는 경우가 많습니다. 아무도 로그인하지 않은 상태에서 각 테이블이나 컬렉션에 누가 읽고 쓸 수 있는지 확인하세요. 만약 답이 '누구나'라면, 출시 전에 수정해야 합니다.

3. 누락된 인증 확인 (Missing auth checks)

페이지가 버튼을 숨기는 것은 쉽지만, 그 뒤의 API는 여전히 누구에게나 응답할 수 있습니다. 사용자 데이터를 변경하거나 반환하는 모든 엔드포인트(endpoint)에 대해 서버가 누가 요청했는지, 그리고 그들이 해당 레코드를 볼 권한이 있는지 확인해야 합니다. 단순히 로그인만 했다고 해서 충분하지 않습니다.

4. 결제 버그 (Payment bugs)

가격과 금액은 브라우저에서 신뢰하는 것이 아니라 서버에서 결정되는지 확인하세요. 결제가 성공했다고 간주되려면 귀하의 결제 제공업체(payment provider)의 웹훅(webhook)이 그렇게 말해야 하며, 실패했거나 반복된 웹훅이 누군가에게 무료 접근을 주거나 이중으로 청구할 수 없도록 해야 합니다.

더 빠르게 처리하기

이 모든 것은 수동으로 할 수도 있으며, 무엇을 찾아야 하는지 알기 위해 한 번 해볼 가치가 있습니다. 매번 전체 레포지토리를 읽는 것은 지루해지므로, 저는 이를 위한 도구를 만들었습니다: Quick Scan First. 이 도구는 GitHub 리포지토리에서 노출된 키(exposed keys), 열린 데이터베이스(open databases), 누락된 인증 확인(missing auth checks) 및 결제 버그를 스캔한 다음, 제안된 수정 사항이 포함된 풀 리퀘스트(pull request)를 엽니다. 사용자는 이 풀 리퀘스트를 검토하고 모든 변경 사항을 승인합니다. 이 도구는 코드를 저장하지 않습니다. 무료 스캔은 3회 제공되며, 무료 수정은 2회가 제공되고, Pro 버전은 월 £10에 부가세(VAT)가 추가됩니다.

공개 고지: 제가 Quick Scan First를 만들었습니다. 위의 체크리스트는 이 도구의 사용 여부와 관계없이 작동합니다.