Laravel에서 인증은 어떻게 동작하나요?

Question

Accepted Answer

Laravel은 완전하고 안전한 **인증 시스템**을 기본으로 제공합니다 — 로그인, 회원가입, 비밀번호 해싱, 세션, 라우트 보호를 처리합니다. 웹 앱을 위한 기성 스타터 킷과 API를 위한 토큰 기반 인증(Sanctum/Passport)을 제공하여, 보안에 중요한 이 기능을 직접 만들지 않아도 됩니다.

## 기본 (세션, 해싱, auth 헬퍼)

```php
use Illuminate\Support\Facades\Auth;

// 로그인 시도 — 자격 증명 확인, 세션 설정
if (Auth::attempt(['email' => $email, 'password' => $password])) {
    // 로그인됨 — 이제 어디서나 Auth::user() 사용 가능
}
Auth::logout();
Auth::user();        // 인증된 사용자 (또는 null)
Auth::check();        // 누군가 로그인했는가?
Auth::id();           // 사용자의 id

// 비밀번호는 자동으로 해싱됨 (bcrypt) — 절대 평문 아님
$user->password = Hash::make($plainPassword);
Hash::check($plain, $user->password);   // 검증
```

Laravel은 **안전한 비밀번호 해싱**(bcrypt/argon2 — 절대 평문 아님)과 세션 관리를 자동으로 처리합니다. `Auth::attempt`는 자격 증명을 확인하고 사용자를 로그인시킵니다.

## 라우트 보호

```php
Route::get('/dashboard', ...)->middleware('auth');   // 로그인 필요 (auth middleware)

// Blade에서
@auth ... @endauth         // 로그인한 사용자용 콘텐츠
@guest ... @endguest       // 방문자용 콘텐츠
```

**`auth` middleware**는 라우트를 보호합니다(미로그인 시 리다이렉트/401) — 인증을 요구하는 표준 방법입니다.

## 스타터 킷과 API 인증

```text
스타터 킷 (Breeze, Jetstream) → 완전한 로그인/회원가입/비밀번호 재설정
  UI와 로직을 즉시 스캐폴딩 — 인증 화면을 손수 만들지 말 것.

API 인증:
  ✓ Sanctum → SPA, 모바일 앱, 간단한 API 토큰을 위한 토큰 기반 인증 (일반적)
  ✓ Passport → 복잡한 API 인증 시나리오를 위한 완전한 OAuth2 서버
```

API의 경우, **Sanctum**(경량 토큰 인증) 또는 **Passport**(완전한 OAuth2)가 토큰을 발급하고 검증합니다 — `auth:sanctum` middleware로 API 라우트를 보호합니다.

## 왜 중요한가

인증은 필수적이고 **보안에 중요**합니다 — 거의 모든 실제 애플리케이션은 사용자 계정과 로그인이 필요하며, 인증은 잘못 구현하기 가장 쉽고 위험한 것 중 하나입니다(평문 비밀번호, 약한 해싱, 세션 취약점은 심각한 침해로 이어짐).

Laravel의 내장 인증 시스템은 이를 올바르고 안전하게 기본으로 처리하기 때문에 주요한 이점입니다: **안전한 비밀번호 해싱**(bcrypt/argon2, 절대 평문 아님 — 자동 처리), 세션 관리, 그리고 라우트 보호를 위한 편리한 `Auth` 헬퍼와 **`auth` middleware**.

사용자를 인증하고, 라우트를 보호하며, 현재 사용자에 접근하는 방법을 이해하는 것은 계정이 있는 애플리케이션을 구축하는 데 근본적입니다.

마찬가지로 중요한 것은 생태계 도구를 아는 것입니다: **스타터 킷**(Breeze, Jetstream)은 완전하고 안전한 로그인/회원가입/비밀번호 재설정 기능을 즉시 스캐폴딩하고(따라서 오류가 발생하기 쉬운 인증 화면을 손수 만들지 않아도 됨), API의 경우 **Sanctum**(SPA/모바일용 간단한 토큰 인증) 또는 **Passport**(완전한 OAuth2)가 안전한 토큰 기반 인증을 제공합니다.

인증은 어디에나 있으면서도 직접 만들 때 위험한 보안 실수의 빈번한 원천이므로, Laravel의 견고하고 안전하며 배터리 포함된 인증 시스템 — 기본, 라우트 보호, 스타터 킷, API 인증 옵션 — 을 이해하는 것은 이 중요한 기능을 재발명(하고 위험을 감수)하지 않고 안전한 사용자 대면 애플리케이션을 구축할 수 있게 하는 중요한 지식이며, Laravel 같은 성숙한 프레임워크를 사용하는 핵심 이점입니다.