API 보안 강화를 위한 HTTP 리디렉션의 문제점과 대응 방법

mkdir secure-api
cd secure-api
npm init -y
npm install express https

openssl genrsa -out key.pem 2048
openssl req -new -key key.pem -out csr.pem
openssl x509 -req -days 365 -in csr.pem -signkey key.pem -out cert.pem

const fs = require('fs');
const http = require('http');
const https = require('https');
const express = require('express');
const app = express();

// SSL 인증서 로드
const privateKey = fs.readFileSync('key.pem', 'utf8');
const certificate = fs.readFileSync('cert.pem', 'utf8');
const credentials = { key: privateKey, cert: certificate };

// HTTP 요청을 명확히 실패시키는 미들웨어
app.use((req, res, next) => {
  if (req.protocol === 'http') {
    return res.status(403).send('Forbidden - Please use HTTPS');
  }
  next();
});

// 간단한 API 엔드포인트
app.get('/api/data', (req, res) => {
  res.json({ message: 'Secure data accessed via HTTPS' });
});

// HTTP 서버 설정 (포트 80)
const httpServer = http.createServer(app);
httpServer.listen(80, () => {
  console.log('HTTP Server running on port 80');
});

// HTTPS 서버 설정 (포트 443)
const httpsServer = https.createServer(credentials, app);
httpsServer.listen(443, () => {
  console.log('HTTPS Server running on port 443');
});

node server.js

npm install jsonwebtoken

const jwt = require('jsonwebtoken');

// 토큰 생성 (예시)
const token = jwt.sign({ username: 'user1' }, 'your_jwt_secret', { expiresIn: '1h' });

// 인증 미들웨어
const authenticateJWT = (req, res, next) => {
  const authHeader = req.headers.authorization;
  if (authHeader) {
    const token = authHeader.split(' ')[1];
    jwt.verify(token, 'your_jwt_secret', (err, user) => {
      if (err) {
        return res.sendStatus(403);
      }
      req.user = user;
      next();
    });
  } else {
    res.sendStatus(401);
  }
};

// 보호된 엔드포인트
app.get('/api/secure-data', authenticateJWT, (req, res) => {
  res.json({ message: 'Secure data accessed via HTTPS with valid token' });
});