백엔드
HMAC 서명 토큰으로 초대 링크 만들기
두줄요약
인력풀 초대 링크에 만료와 위변조 방지를 넣기 위해 HMAC 서명 토큰을 적용했습니다. 프론트는 토큰만 전달하고, 서버가 발급과 검증을 모두 맡도록 구성했습니다.
핵심 내용
- 인력풀 초대 링크에 만료와 위변조 방지를 넣기 위해 HMAC-SHA256 서명 토큰을 선택한 배경 정리
- 풀 ID와 만료 시각을 payload로 두고, 서버만 아는 비밀키로 서명한 뒤 서버가 검증하는 구조 설명
- 프론트는 서명을 계산하지 않고 서버가 발급한 토큰 문자열만 전달하는 흐름 정리
- Kubernetes Secret, 환경 변수 이름, URL-safe Base64, 만료 검증 순서 등 실무에서 헷갈린 지점과 배포 설정 메모 공유
적용해볼 점
- 서명 대상은 URL에 실리는 payload 문자열로 고정하고, 검증은 서명 확인 후 만료 확인 순서로 처리
- 비밀키는 환경별로 하나만 두고, 프론트 번들에 넣지 않기
- 쿼리 문자열용 토큰은 URL-safe Base64와 패딩 없음으로 통일하기
- Secret 키 이름과 애플리케이션 설정의 환경 변수 이름을 정확히 맞추기
