🔐 HTTP Basic 인증이란?

📌 HTTP Basic 인증이란?

HTTP Basic 인증은 웹 페이지에 접속하거나 API를 호출할 때, 브라우저가 팝업을 띄워 아이디와 비밀번호를 묻는 방식입

가장 기본적이고 간단한 인증 방식으로, 브라우저나 클라이언트가 요청을 보낼 때 Authorization 헤더에 아이디:비밀번호를 Base64로 인코딩해서 보낸다

---

💻 HTTP Basic 인증 흐름

1. 사용자가 API를 호출
2. 서버는 "인증이 필요하다"는 401 Unauthorized 응답을 보냄
3. 브라우저가 팝업을 띄워 "아이디와 비밀번호를 입력하세요"라고 함
4. 사용자가 입력한 아이디와 비밀번호가 Base64로 인코딩되어 요청에 포함
5. 서버는 이를 디코딩해 인증을 수행하고, 성공하면 API 응답을 반환

🍔 햄버거 가게 비유해 보자면..

• 상황:
  • 당신은 햄버거 가게에 들어가려고 함
  • 가게에 들어서면 문 앞에서 직원이 물어봄
    • "아이디와 비밀번호를 입력해 주세요!"
  • 당신이 아이디와 비밀번호를 입력하면, 직원이 확인하고 가게 안으로 들여보내진다

---

📋 HTTP Basic 인증 요청 예시 (헤더):

GET /api/users HTTP/1.1
Host: example.com
Authorization: Basic dXNlcm5hbWU6cGFzc3dvcmQ=

• dXNlcm5hbWU6cGFzc3dvcmQ=
  • Base64로 인코딩된 값
  • 디코딩하면 username:password가 됨

---

🌐 HTTP Basic 인증 팝업 화면 (브라우저에서 보는 화면):

+-----------------------------+
|  Authentication Required    |
|                             |
|  Username: [________]       |
|  Password: [________]       |
|                             |
|           [ OK ]            |
+-----------------------------+

• API 요청 시 위와 같은 기본 팝업이 뜨는 방식
• 아이디와 비밀번호를 입력하면, 해당 정보를 서버로 전송해 인증

---

🔑 HTTP Basic 인증의 단점 (왜 비활성화할까?)

1. 보안에 취약하다
   • 아이디와 비밀번호가 매 요청마다 전송
   • 비록 Base64로 인코딩되지만, 인코딩은 암호화가 아님
   • HTTP가 아닌 HTTPS가 아니면 쉽게 탈취될 수 있다
2. 사용자 경험(UX)이 나쁘다
   • 팝업 방식이라 사용자 경험이 좋지 않다
   • 실무에서는 폼 로그인, JWT, OAuth2 같은 더 안전하고 유연한 방식을 사용
3. 기본 인증이라 너무 단순하다
   • 세션 관리가 불가능하고,
   • 다양한 인증 흐름을 적용하기 어렵다

---

✅ HTTP Basic 인증을 대체하는 방식

1. JWT (JSON Web Token)

   • 클라이언트가 로그인 시 JWT(토큰)를 발급받아 요청에 포함시킴
   • 서버는 JWT를 검증하고, 클라이언트의 인증 상태를 유지

2. OAuth2

   • 소셜 로그인(Google, Naver, Kakao 등)이나 API 인증에 사용
   • 액세스 토큰을 통해 인증하며, 세션 관리가 용이

3. 폼 기반 인증 (Form Login)

   • 웹사이트에서 주로 사용되는 로그인 방식으로, 사용자에게 직접 HTML 폼을 통해 로그인 정보를 입력받는 방식