2026년 1월 28일 (수요일)

31개 커밋으로 권한 체계를 뜯어고친 날

오늘 아트페어 H VIP시스템 프로젝트에서 31개 커밋이 쏟아졌습니다. 숫자만 보면 대단해 보이지만, 사실 그 절반 이상은 미들웨어 한 파일과의 씨름이었습니다. 권한 체계라는 게 한 번 꼬이기 시작하면 여기저기서 터지거든요.

미들웨어와의 전쟁

초대권 경로가 /[invitationCode]에서 /pass/[invitationCode]로 변경되면서 일이 커졌습니다. 단순히 경로만 바꾸면 될 것 같았는데, 이게 접근 제어 로직 전체를 건드려야 하는 작업이었습니다.

가장 골치 아팠던 건 무한 리다이렉트 문제였습니다. isAuthorized 함수에서 :path* 패턴 매칭을 할 때 루트 경로가 누락되면서 사용자가 어디로도 갈 수 없는 상황이 발생했거든요. (로그인해도 로그인 페이지로 돌아가는 무한 굴레)

결국 유저 타입별로 홈 경로를 명확하게 정의하고, Negative Lookahead를 활용해서 GALLERY와 ONSITE 역할이 /api/admin 하위 경로에 접근하지 못하도록 막았습니다.

// 권한 미달 시 404로 리라이트 (로그인 페이지 리다이렉트 대신)
// 존재하지 않는 초대권처럼 보이게 처리
return NextResponse.rewrite(new URL('/404', request.url))

권한이 없을 때 로그인 페이지로 보내는 대신 404를 보여주기로 한 건, 보안 측면에서 더 나은 선택이었습니다. "이 경로가 존재하는데 권한이 없다"는 정보조차 노출하지 않는 거죠.

CSV 전화번호, 엑셀이 삼켜버린 0

일년에 2-3번은 같은 작업을 하는 것 같지만.. CSV 다운로드 기능에서 전화번호가 이상하게 나오는 문제도 해결했습니다. 010-1234-5678이 엑셀에서 열리면 1012345678로 바뀌어버리는 그 문제요. (앞자리 0이 사라지는 건 덤)

formatPhoneNumber 함수를 만들어서 하이픈을 자동으로 추가하고, CSV에서는 텍스트로 강제 처리하도록 수정했습니다. VIP 신청서, 목록, 업데이트 다이얼로그, 업로드 미리보기까지 전화번호가 나오는 모든 곳에 일괄 적용했습니다.

문서화는 미래의 나를 위한 투자

README.md와 TESTGUIDE.md도 대폭 업데이트했습니다. API 문서 접근 방법, 디버그 모드 설명, 환경 변수 우선순위까지. 외부 공유를 위한 가이드 문서라 신경을 많이 썼는데, 솔직히 가장 자주 볼 사람은 3개월 뒤의 저희 팀이겠죠.

한편 온라인 쇼핑몰 S에서는 ProductManager에서 API URL이 undefined일 때 발생하는 오류를 잡았고, 아트페어 K 공식 웹사이트에서는 dev 환경에서 신청서 마감 상태를 테스트할 수 있도록 종료 시간을 조정했습니다.

권한 체계는 처음에 잘 설계하는 게 최선이지만, 이미 엉킨 상태라면 미들웨어 한 곳에서 모든 걸 통제하는 게 차선입니다.

오늘의 교훈이라면, 경로 하나 바꾸는 게 절대 "경로 하나 바꾸는 일"이 아니라는 것. 특히 인증/인가가 얽혀있다면요.

글 작성자

한송욱

@coolwithyou

CTO, Tech LeadSoftware Engineer

프로필 보기

커밋 참여자

이상희

Software Engineer

+5562-6939

추지혜

Software Engineer

+5119-5255

개발자 개인정보 및 고객사 정보 보호를 위해 프로젝트명과 일부 세부 정보는 마스킹 처리되어 있습니다.

작업한 프로젝트

아트페어 H VIP시스템

31개 커밋+10063-12161

아트페어 K 공식 웹사이트

1개 커밋+1-1

온라인 쇼핑몰 S

2개 커밋+618-33

상세 커밋 내역

설정 변경

아트페어 H VIP시스템 · sangheedev · +88 / -52

코드 업데이트

아트페어 H VIP시스템 · sangheedev · +227 / -1310

문서 업데이트

아트페어 H VIP시스템 · chujihye · +0 / -0

스타일 수정

아트페어 H VIP시스템 · chujihye · +7 / -7

기능 추가

아트페어 H VIP시스템 · chujihye · +15 / -0

코드 개선

아트페어 H VIP시스템 · chujihye · +3 / -3

코드 개선

아트페어 H VIP시스템 · chujihye · +2 / -2

코드 업데이트

아트페어 H VIP시스템 · chujihye · +70 / -32

코드 개선

아트페어 H VIP시스템 · sangheedev · +78 / -8

버그 수정

아트페어 H VIP시스템 · sangheedev · +1 / -1

코드 업데이트

아트페어 H VIP시스템 · Chu Jihye · +4039 / -4908

기능 추가

아트페어 H VIP시스템 · sangheedev · +8 / -7

코드 업데이트

아트페어 H VIP시스템 · sangheedev · +89 / -18

코드 업데이트

아트페어 H VIP시스템 · Lee Sanghee · +89 / -18

코드 업데이트

아트페어 H VIP시스템 · sangheedev · +4128 / -4926

문서 업데이트

아트페어 H VIP시스템 · sangheedev · +71 / -30

문서 업데이트

아트페어 H VIP시스템 · sangheedev · +69 / -29

문서 업데이트

아트페어 H VIP시스템 · sangheedev · +48 / -104

스타일 수정

아트페어 H VIP시스템 · chujihye · +4 / -1

문서 업데이트

아트페어 H VIP시스템 · sangheedev · +11 / -1

문서 업데이트

아트페어 H VIP시스템 · chujihye · +0 / -57

기능 추가

아트페어 H VIP시스템 · sangheedev · +91 / -11

문서 업데이트

아트페어 H VIP시스템 · sangheedev · +4 / -40

문서 업데이트

아트페어 H VIP시스템 · sangheedev · +1 / -1

문서 업데이트

아트페어 H VIP시스템 · sangheedev · +10 / -1

버그 수정

아트페어 K 공식 웹사이트 · dongha@macmini · +1 / -1

기능 추가

아트페어 H VIP시스템 · chujihye · +82 / -57

코드 업데이트

아트페어 H VIP시스템 · chujihye · +279 / -155

코드 업데이트

아트페어 H VIP시스템 · Lee Sanghee · +365 / -270

설정 변경

온라인 쇼핑몰 S · chujihye · +481 / -0

버그 수정

온라인 쇼핑몰 S · chujihye · +137 / -33

코드 개선

아트페어 H VIP시스템 · sangheedev · +86 / -47

버그 수정

아트페어 H VIP시스템 · sangheedev · +6 / -9

코드 업데이트

아트페어 H VIP시스템 · Lee Sanghee · +92 / -56

미들웨어와의 전쟁

// 권한 미달 시 404로 리라이트 (로그인 페이지 리다이렉트 대신)
// 존재하지 않는 초대권처럼 보이게 처리
return NextResponse.rewrite(new URL('/404', request.url))

CSV 전화번호, 엑셀이 삼켜버린 0

문서화는 미래의 나를 위한 투자

권한 체계는 처음에 잘 설계하는 게 최선이지만, 이미 엉킨 상태라면 미들웨어 한 곳에서 모든 걸 통제하는 게 차선입니다.

오늘의 교훈이라면, 경로 하나 바꾸는 게 절대 "경로 하나 바꾸는 일"이 아니라는 것. 특히 인증/인가가 얽혀있다면요.