Item_Simulation

아이템 시뮬레이션 입니다. API목록은 다음과 같습니다.

회원가입 API cubetale.shop:3020/api/sign-up { "playerId": "아이디", "password": "비밀번호 6자리이상", "name": "이름", "age": 나이, "gender": "성별" }

로그인 API cubetale.shop:3020/api/login { "playerId": "회원가입한 아이디", "password": "비밀번호" }

캐릭터 생성 API cubetale.shop:3020/api/char-create { "nickname": "닉네임" }

캐릭터 상세 조회 API cubetale.shop:3020/api/char-create/조회할 캐릭터 id

아이템 생성 API :3020/api/item-create { "item_name": "아이템 이름", "item_health": 체력스텟, "item_power": 공격력스텟, "item_price": 가격 }

아이템 수정 API cubetale.shop:3020/api/item-create/조회할 아이템 code { "item_name": "수정할 아이템 이름", "item_health": 수정할 체력스텟, "item_power": 수정할 공격력스텟 }

아이템 목록 조회 API cubetale.shop:3020/api/item-create

아이템 상세 조회 API cubetale.shop:3020/api/item-create/조회할 아이템 code

1. 암호화 방식
   • 비밀번호를 DB에 저장할 때 Hash를 이용했는데, Hash는 단방향 암호화와 양방향 암호화 중 어떤 암호화 방식에 해당할까요? Hash는 단방향 암호화입니다.
   • 비밀번호를 그냥 저장하지 않고 Hash 한 값을 저장 했을 때의 좋은 점은 무엇인가요? Hash함수의 특성인 단방향 암호화로 인해 데이터를 해싱했을 때 암호화된 값을 다시 복호화 할 수 없어 보안에 뛰어납니다.
2. 인증 방식
   • JWT(Json Web Token)을 이용해 인증 기능을 했는데, 만약 Access Token이 노출되었을 경우 발생할 수 있는 문제점은 무엇일까요? Access Token이 노출되면 실제로는 원래 유저가 아니지만 해당 유저의 권한을 가지고 할 수 있는 모든 것을 마음대로 사용할 수 있어 위험하다.
   • 해당 문제점을 보완하기 위한 방법으로는 어떤 것이 있을까요? 이러한 보안에 대한 문제를 위해 Access Token의 유효기간을 짧게 설정하여 사용자가 자주 인증하게해주거나, Refresh Token을 만들어 DB에 저장하고, Access Token이 만료되면 Refresh Token을 통해 새로운 Access Token을 생성해주는 방법이 있다.
3. 인증과 인가
   • 인증과 인가가 무엇인지 각각 설명해 주세요. 인증은 사용자의 신원을 검증하는 것이고, 인가는 인증된 사용자가 어떠한 자원에 접근할 수 있는지 확인하는 것이다.
   • 위 API 구현 명세에서 인증을 필요로 하는 API와 그렇지 않은 API의 차이가 뭐라고 생각하시나요? 인증이 필요없는 회원가입은 아직 사용자의 신원을 검증할 필요가 없기 때문에 인증이 필요하지 않고 과제에서 구현한 UserMiddleware는 사용자의 쿠키를 검증하는 단계이기 때문에 인증에 해당합니다.
   • 아이템 생성, 수정 API는 인증을 필요로 하지 않는다고 했지만 사실은 어느 API보다도 인증이 필요한 API입니다. 왜 그럴까요? 관리자가 아닌 누군가 사기 아이템을 생성하고 초보자의 아이템이 최상위 아이템이 되면 게임 경제가 망가지기 때문입니다.
4. Http Status Code
   • 과제를 진행하면서 사용한 Http Status Code를 모두 나열하고, 각각이 의미하는 것과 어떤 상황에 사용했는지 작성해 주세요. 200: 요청이 성공했다는 의미입니다. (GET, HEAD, PUT, TRACE) 201: 요청이 성공했고, 그 결과 새로운 리소스가 생성되었습니다. (POST, PUT) 400: Bad Request 서버가 클라이언트 오류로 인식되는 상황(ex: 잘못된 요청 구문, 잘못된 요청 메시지 프레이밍 또는 사기성 요청 라우팅)으로 인해 요청을 처리할 수 없거나 처리하지 않습니다. 401: Unauthorized HTTP 표준은 "인증되지 않음"을 명시하지만, 의미적으로 이 응답은 "인증되지 않음"을 의미합니다. 즉, 클라이언트는 요청된 응답을 받으려면 자신을 인증해야합니다. 404: Not Fount 서버가 요청한 리소스를 찾을 수 없습니다. 브라우저에서 이는 URL이 인식되지 않음을 의미합니다. 409: Conflict 이 응답은 요청이 서버의 현재 상태와 충돌할 때 전송됩니다. 500: Internal Server Error 서버에서 어떻게 처리해야 할지 모르는 상황이 발생했습니다.
5. 게임 경제
   • 현재는 간편한 구현을 위해 캐릭터 테이블에 money라는 게임 머니 컬럼만 추가하였습니다.
     • 이렇게 되었을 때 어떠한 단점이 있을 수 있을까요? 항상 문제점은 보안에 있습니다. 캐릭터의 보안이 뚫려 내 캐릭터를 마음대로 조종이 가능 할 때 money는 결국 재화에 대한 데이터이기에 게임에서 굉장히 민감한 자원입니다. 해당 자원이 캐릭터 정보와 함께 있으면 캐릭터 정보가 뚫릴 댸 재화의 양을 마음대로 늘리거나 줄일 수 있습니다.
     • 이렇게 하지 않고 다르게 구현할 수 있는 방법은 어떤 것이 있을까요? 즉, 보안성을 늘리는게 핵심이고 당장에 생각할 수 있는 것은 서버에서 클라이언트에 직접 전송하게 될 캐릭터 정보에 넣는 것 보다는 데이터베이스에 직접 들어갈 재화 리소스를 따로 관리를 하여 보안성을 늘려줘야 할 것 같습니다. 다른 DB에 넣는 방식으로 하여 캐릭터 정보 와 재화 관리는 따로 해주면 더욱 좋을 것 같습니다.
   • 아이템 구입 시에 가격을 클라이언트에서 입력하게 하면 어떠한 문제점이 있을 수 있을까요? 아이템 가격을 자기 마음대로 구매할 수 있기 때문에 예를 들어 아이템 상점에서 0원에 산 무기가 판매할 때 10000이라고 하면 돈 복사가 되기 떄문에 게임 경제가 망가집니다. 또한, 가격을 구매할때 1000원 짜리를 10000원으로 구매하게 된다면 원래 10개를 구매할 생각이었지만 1개를 구매하게 되어 서버 롤백을 원하는 경우가 많아질 것 같습니다. 경매장에서는 문제가 없지만 인간이라면 언제든 실수를 할 수 있기 때문에 1000만원짜리를 100만원에 올리는 실수를 방지하기 위해 경매장에 다른 유저들에게 실제로 보이는 시간 까지 시간 차이를 두어 아이템 가격을 다시 체크하고 잘못 입력한 경우 다시 수거할 수 있는 물리적인 시간을 주는 것도 괜찮은 것 같습니다.