AI로 만든 앱 보안 점검 체크리스트 — 출시 전 필수

AI 가 만든 앱에서 보안 구멍이 잘 생기는 이유

AI 코딩 도구에 "회원 게시판 만들어 줘"라고 하면 글 쓰기·목록·수정 화면은 금방 나옵니다. 하지만 "다른 사람이 주소의 번호만 바꿔서 내 글을 지우면?" 같은 경우는 따로 말하지 않으면 빠지기 쉽습니다.

또 화면이 빨리 돌아가게 하려고 비밀키를 브라우저 쪽 코드에 넣거나, DB 를 누구나 읽을 수 있게 열어 두는 일도 생깁니다. 겉으로는 아무 문제가 없어 보여서 출시 전까지 모르고 넘어갑니다.

출시 전 다섯 가지 체크리스트

• 비밀키: 결제·AI·DB 의 비밀키가 브라우저에서 보이는 코드나 GitHub 저장소에 들어가 있지 않은가
• 남의 정보: 주소창의 번호(예: /orders/123)를 바꿨을 때 다른 사람의 주문·글·파일이 보이지 않는가
• DB 권한: Supabase·Firebase 같은 DB 가 "로그인한 본인 것만" 읽고 쓰도록 규칙이 켜져 있는가
• 결제 금액: 결제 금액을 브라우저가 정해서 보내지 않고, 서버가 상품 가격으로 다시 계산하는가
• 관리자 화면: /admin 같은 주소를 아무나 열 수 없고, 서버에서도 관리자인지 확인하는가

비개발자가 직접 해 보는 확인 방법

1. 시험용 계정 두 개(A, B)를 만듭니다. A 로 글이나 주문을 하나 만들고 주소창의 주소를 복사합니다.
2. 로그아웃한 뒤 B 로 로그인해서 그 주소를 붙여 넣습니다. A 의 내용이 보이면 문제입니다. 로그아웃한 상태에서도 해 봅니다.
3. 주소의 숫자를 1 늘리거나 줄여 봅니다. 내 것이 아닌 내용이 보이면 문제입니다.
4. 크롬에서 F12 를 눌러 개발자 도구를 열고, 「Sources」 또는 「Network」 탭에서 secret, sk_, service_role 같은 글자가 보이는지 찾아봅니다.
5. 로그인하지 않은 상태로 /admin, /dashboard 같은 주소를 직접 쳐 봅니다.

내 AI 코딩 도구에 이렇게 맡겨 보세요

아래 글을 그대로 붙여 넣으면 AI 가 위 항목을 하나씩 따져 봅니다. 다만 AI 의 "문제없음" 답도 틀릴 수 있으니, 위의 직접 확인을 함께 하세요.

찾았을 때 고치는 순서

• 비밀키가 밖에 나갔다면 코드를 고치는 것보다 먼저 그 키를 새로 발급하고 옛 키를 끕니다.
• 남의 정보가 보이는 문제는 이미 누가 봤을 수 있으니, 고친 뒤 접속 기록을 확인합니다.
• 그다음 결제 금액, 관리자 화면 순서로 고칩니다. 손님 돈과 개인정보에 닿는 것이 먼저입니다.

자주 묻는 질문

함께 보면 좋은 글

• API 키·비밀키가 코드에 노출됐을 때 바로 해야 할 일
• 주소 번호만 바꾸면 남의 정보가 보이는 문제 (IDOR)
• Supabase RLS 안 켜면 생기는 일 — 행 수준 보안 정리

참고

• OWASP API Security Top 10 (2023) — API1 Broken Object Level Authorization
• Supabase — Row Level Security
• Next.js — Environment Variables