Kotlin 고급 데이터베이스

Kotlin 안전한 데이터베이스 접근

Kotlin 안전한 데이터베이스 접근 — 고급

안전한 데이터베이스 접근

1. 도입 (왜 배워야 하는가)

안전한 데이터베이스 접근은 현대 소프트웨어 개발에서 매우 중요한 요소입니다. 데이터베이스는 애플리케이션의 핵심 데이터 저장소이며, 이 데이터에 대한 접근이 안전하지 않으면 개인 정보 유출, 데이터 손상, 또는 서비스 중단과 같은 심각한 문제가 발생할 수 있습니다. 특히, 금융 서비스나 전자상거래 플랫폼과 같은 민감한 정보를 다루는 애플리케이션에서는 더욱더 철저한 보안이 요구됩니다.

이러한 문제를 피하기 위해서는 데이터베이스 접근 방식을 이해하고, 이를 효과적으로 구현할 수 있어야 합니다. 만약 안전한 데이터베이스 접근 방법을 모른다면, 애플리케이션의 취약점이 생길 수 있으며, 이는 해커에게 공격 기회를 제공하게 됩니다.

2. 핵심 개념 설명

2.1. SQL 인젝션 (SQL Injection)

SQL 인젝션은 악의적인 사용자가 SQL 쿼리를 조작하여 데이터베이스에 불법적으로 접근하는 공격입니다. 이를 방지하기 위해서는 사용자 입력을 적절히 검증하고, Prepared Statements를 사용하는 것이 필수적입니다.

2.2. Prepared Statements

Prepared Statements는 SQL 쿼리를 미리 정의해놓고, 사용자 입력을 바인딩하여 실행하는 방식입니다. 이 방식은 SQL 인젝션 공격을 방지할 수 있습니다.

용어	설명
SQL 인젝션	악의적인 SQL 코드가 포함된 사용자 입력으로 인한 공격
Prepared Statements	미리 정의된 SQL 쿼리와 바인딩된 사용자 입력으로 안전하게 쿼리 실행

3. 기본 코드 예제

아래는 Kotlin에서 Prepared Statements를 사용하는 간단한 예제입니다.

import java.sql.DriverManager

fun main() {
    val url = "jdbc:mysql://localhost:3306/mydatabase"
    val user = "username"
    val password = "password"

    val connection = DriverManager.getConnection(url, user, password)
    
    // Prepared Statement 생성
    val query = "SELECT * FROM users WHERE username = ?"
    val statement = connection.prepareStatement(query)
    
    // 사용자 입력 바인딩
    statement.setString(1, "user1")

    // 실행
    val resultSet = statement.executeQuery()

    while (resultSet.next()) {
        println("ID: ${resultSet.getInt("id")}, Username: ${resultSet.getString("username")}")
    }

    resultSet.close()
    statement.close()
    connection.close()
}

실행 결과

ID: 1, Username: user1

코드 한 줄씩 동작 설명

import java.sql.DriverManager: JDBC를 사용하기 위해 필요한 패키지를 임포트합니다.
val url = "jdbc:mysql://localhost:3306/mydatabase": 데이터베이스 연결을 위한 URL을 설정합니다.
val connection = DriverManager.getConnection(url, user, password): 데이터베이스에 연결합니다.
val query = "SELECT * FROM users WHERE username = ?": SQL 쿼리를 정의합니다.
val statement = connection.prepareStatement(query): Prepared Statement를 생성합니다.
statement.setString(1, "user1"): 첫 번째 파라미터에 사용자 입력을 바인딩합니다.
val resultSet = statement.executeQuery(): 쿼리를 실행하고 결과를 가져옵니다.
while (resultSet.next()): 결과를 반복하여 출력합니다.
resultSet.close(), statement.close(), connection.close(): 자원을 해제합니다.

4. 실전 활용 예제

예제 1: 쇼핑몰에서 장바구니 구현

쇼핑몰 애플리케이션에서는 사용자가 장바구니에 추가한 상품 정보를 데이터베이스에 안전하게 저장해야 합니다.

fun addToCart(userId: Int, productId: Int) {
    val connection = DriverManager.getConnection(url, user, password)
    val query = "INSERT INTO cart (user_id, product_id) VALUES (?, ?)"
    val statement = connection.prepareStatement(query)
    
    statement.setInt(1, userId)
    statement.setInt(2, productId)

    statement.executeUpdate()
    
    statement.close()
    connection.close()
}

예제 2: 사용자 정보 업데이트

사용자의 정보를 안전하게 업데이트하는 방법입니다.

fun updateUser(userId: Int, newUsername: String) {
    val connection = DriverManager.getConnection(url, user, password)
    val query = "UPDATE users SET username = ? WHERE id = ?"
    val statement = connection.prepareStatement(query)
    
    statement.setString(1, newUsername)
    statement.setInt(2, userId)

    statement.executeUpdate()
    
    statement.close()
    connection.close()
}

5. 흔한 실수와 주의사항

실수 1: 사용자 입력 직접 삽입

잘못된 코드:

val query = "SELECT * FROM users WHERE username = '" + userInput + "'"

올바른 코드:

val query = "SELECT * FROM users WHERE username = ?"

설명: 사용자 입력을 직접 SQL 쿼리에 삽입하면 SQL 인젝션 공격에 노출됩니다.

실수 2: 자원 해제 누락