DongHyeonkaandClaude Opus 5
ab59130196
이번 파이프라인 작업과 무관하게 작업 트리에 남아 있던 것을 그대로 올린다. 사용자가 「전부 커밋」으로 정했고, 이번 작업과 섞이지 않게 커밋만 나눴다. 대부분은 clean-architecture-backend-template 의 그림 정본 재배치다 — final/assets/diagrams/<이름>/ 에 있던 것이 CLAUDE.md 가 적은 배치인 final/assets/<이름>/ 로 옮겨졌고 .techviz/<이름>/ 이 함께 들어왔다. 삽입 줄의 대부분(3.15M)이 그 .techviz context.json 이다. 그 밖에 ca-tmpl·document-haness 의 정리, .claude/agents/ 열한 개, writing-practitioner-guides 스킬, .playwright-mcp 세션 산출물, scripts/check-ssot-facts.py 와 그 시험이 들어 있다. 이 커밋의 내용은 내가 만든 것이 아니라 이전 세션이 남긴 것이고 검증하지 않았다. Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>
125 lines
5.2 KiB
Markdown
125 lines
5.2 KiB
Markdown
---
|
|
kind: CONCEPT
|
|
slug: rls-three-preconditions
|
|
title: RLS가 성립하기 위한 세 전제
|
|
topic: multitenancy-isolation
|
|
project: clean-architecture-backend-template
|
|
status: 게시 전
|
|
sourceRevision: 21234e38cdb9a926cbc92bb97a2aee2e4a7d2916
|
|
basisVersion: PostgreSQL 16 · 리비전 21234e38
|
|
rootTreeNode: concept:rls-three-preconditions
|
|
evidenceCapturedOn: 2026-09-01
|
|
assets:
|
|
- key: rls-three-preconditions
|
|
file: ../../../final/evidence/rendered/rls-three-preconditions.svg
|
|
- key: rls-three-preconditions-diagram
|
|
file: ../../../final/assets/diagrams/rls-three-preconditions/rls-three-preconditions.svg
|
|
evidence:
|
|
- ../../../final/evidence/raw/rls-three-preconditions.txt
|
|
source:
|
|
- 원본 분석 절은 final/document.md#4-1 · final/document.md#a05 §13.1 이다.
|
|
---
|
|
|
|
# RLS가 성립하기 위한 세 전제
|
|
|
|
PostgreSQL 의 행 수준 보안이 실제로 격리하려면 세 가지가 동시에 참이어야 한다. 셋 중 하나만 어긋나도 정책은 올바르게 설정된 것처럼 보이면서 모든 쿼리가 모든 테넌트의 행을 돌려준다.
|
|
|
|
## 관계
|
|
|
|
- **RLS가 아무것도 하지 않는 세 가지 방법**
|
|
세 전제를 검증기가 실제로 확인하는 사례다.
|
|
- **Hibernate filter는 보안 경계가 아니다**
|
|
ORM 기능을 격리 경계로 쓸 때의 문제를 다룬 규칙이다.
|
|
- **격리 설정은 트랜잭션 로컬이어야 한다**
|
|
테넌트 바인딩이 세션에 남지 않게 하는 규칙이다.
|
|
|
|
## 본문
|
|
|
|
<!-- body:start -->
|
|
|
|
PostgreSQL RLS가 실제로 격리하려면 세 가지가 동시에 참이어야 한다.
|
|
|
|
## 격리가 성립하는 세 조건
|
|
|
|
:::evidence key="rls-three-preconditions-diagram" alt="ENABLE RLS 와 FORCE RLS 와 BYPASSRLS 없는 롤이 격리 성립 조건 안에 나란히 놓인다" caption="격리가 성립하는 세 조건" zoom="false"
|
|
:::
|
|
|
|
1. `ENABLE ROW LEVEL SECURITY` — 테이블에 policy를 켠다.
|
|
2. `FORCE ROW LEVEL SECURITY` — **테이블 OWNER에게도** 적용한다. 없으면 owner는 자기 policy에서 면제되고, **owner는 흔히 마이그레이션 롤이며 그것이 사람들이 테스트하는 롤이다.**
|
|
3. 런타임 롤이 `BYPASSRLS`를 갖지 않는다 — 이것은 테이블 속성이 아니라 롤 속성이라 startup에서 assert해야 한다.
|
|
|
|
## 동시에 참이어야 하는 세 가지
|
|
|
|
:::evidence key="rls-three-preconditions" alt="분석 문서 final/document.md 에서 이 기록의 근거 절을 그대로 잘라낸 18줄. 코드베이스를 측정한 것이 아니라 원본 판정이 무엇을 적었는지를 보여 준다." caption="final/document.md 발췌 — 18줄" zoom="true"
|
|
:::
|
|
|
|
## 두 번째 인자 true 가 fail-closed 를 만든다
|
|
|
|
policy가 `current_setting('app.tenant_id', true)`를 쓴다 — 두 번째 인자 `true`가 미설정 시 raise 대신 NULL을 반환하고, NULL은 절대 `tenant_id`와 같지 않다.
|
|
|
|
:::note
|
|
|
|
실제 RLS 환경을 세워 세 전제를 하나씩 깨보지 않았다
|
|
|
|
:::
|
|
|
|
## 세 전제
|
|
|
|
```java
|
|
/**
|
|
* Proves the runtime role cannot bypass row-level security (experimental plan Task 3).
|
|
*
|
|
* <p>Three ways RLS silently does nothing, all checked here:
|
|
*
|
|
* <ul>
|
|
* <li>The table has no policy, or RLS was never enabled on it.
|
|
* <li>The runtime role has {@code BYPASSRLS}.
|
|
* <li>The runtime role <em>owns</em> the table — table owners are exempt from RLS unless the
|
|
* table is set to {@code FORCE ROW LEVEL SECURITY}, which is the one people forget.
|
|
* </ul>
|
|
*
|
|
* <p>Each of those produces a system where every query returns every tenant's rows while the
|
|
* policies look correctly configured.
|
|
*/
|
|
```
|
|
|
|
세 번째가 이 개념의 핵심이다.
|
|
|
|
| 전제 | 무엇인가 | 왜 놓치는가 |
|
|
|---|---|---|
|
|
| 정책과 RLS 활성화 | 테이블 속성 | 가장 명시적이라 잘 보인다 |
|
|
| 런타임 롤이 `BYPASSRLS` 를 갖지 않음 | 롤 속성 | 테이블을 봐서는 알 수 없다 |
|
|
| 테이블 소유자에게도 강제 | 테이블 속성 | 소유자가 대개 마이그레이션 롤이고, 사람들이 그 롤로 테스트한다 |
|
|
|
|
## 소유자 면제가 왜 함정인가
|
|
|
|
테이블 소유자는 자기 정책에서 면제된다. `FORCE ROW LEVEL SECURITY` 를 켜야 소유자에게도 적용된다.
|
|
|
|
그리고 소유자는 흔히 마이그레이션 롤이다. 그 롤이 스키마를 만들었기 때문이다. 검증할 때 쓰는 롤도 대개 그것이다.
|
|
|
|
:::danger
|
|
|
|
마이그레이션 롤로 테스트하면 정책이 전혀 적용되지 않은 상태에서도 통과한다. 그리고 그 롤은 정책이 잘 붙어 있다고 보고한다.
|
|
|
|
:::
|
|
|
|
## 롤 속성은 시작에서 확인해야 한다
|
|
|
|
`BYPASSRLS` 는 테이블 속성이 아니라 롤 속성이다. 스키마를 아무리 살펴도 나오지 않는다.
|
|
|
|
그래서 시작 시점에 단언한다. 런타임 롤이 그 속성을 갖지 않는지 데이터베이스에 물어본다.
|
|
|
|
## 미설정 시 fail-closed
|
|
|
|
정책이 세션 설정을 읽을 때 두 번째 인자를 참으로 준다.
|
|
|
|
```sql
|
|
current_setting('app.tenant_id', true)
|
|
```
|
|
|
|
그 인자가 참이면 설정이 없을 때 예외를 던지는 대신 널을 돌려준다. 그리고 널은 어떤 테넌트 식별자와도 같지 않다.
|
|
|
|
즉 테넌트 바인딩을 잊은 세션은 아무 행도 보지 못한다. 모든 행을 보는 것이 아니라.
|
|
|
|
<!-- body:end -->
|