보안
API 키 감지, Row Level Security 정책, 배포 전 AI 기반 보안 스캐닝으로 앱을 보호하세요.
Lovable로 빌드된 애플리케이션을 보호하는 자세한 지침은 앱 배포 준비 및 일반적인 문제 피하기에 대한 광범위한 가이드를 확인하세요.
API 키
Lovable은 frontend 코드를 작성하므로 브라우저에서 실행됩니다. 따라서 어떤 종류의 민감한 데이터도 코드에 저장해서는 안 됩니다. 대신 Lovable은 안전한 시크릿 저장 기능을 제공합니다.
자동 API 키 감지
서드파티 서비스에 연결하려면 종종 API 키나 토큰이 필요합니다. 채팅에 API 키를 붙여넣을 때마다 Lovable은 자동으로 이를 감지하고 민감한 자격 증명을 frontend 코드에 직접 하드코딩하지 말라고 경고합니다. API 키를 붙여넣는 대신 달성하려는 목표를 설명하면 Lovable이 안전한 구현을 안내해 줍니다.
예를 들어, 다음 대신:
이 API 키를 추가해서 Service X를 호출해: x_test_abc123...
다음과 같이 해보세요:
Service X API를 통합해서 텍스트 응답을 생성하고 싶어
그러면 Lovable이 다음 방법을 안내합니다:
- Secrets 저장소에 API 키를 안전하게 저장합니다.
- 서버 측에서 API 호출을 수행할 Edge Function을 생성합니다.
- frontend 코드에서 해당 Edge Function을 호출합니다.
이 접근 방식은 민감한 자격 증명을 안전하게 유지하고 웹 애플리케이션의 보안 모범 사례를 따릅니다.
RLS (Row Level Security)
RLS 정책은 데이터베이스에서 누가 어떤 데이터에 접근할 수 있는지 결정합니다. 프로젝트를 배포하기 전에 신중하게 검토하고 프로젝트를 개발하면서 계속 재검토하고 업데이트하는 것을 권장합니다.
보안 스캐닝
배포 전에 Lovable은 고급 AI 기반 보안 스캐너의 보안 경고를 표시하고 심각한 문제가 있으면 배포할 것인지 확인을 요청합니다.
프로젝트를 배포하기 전에 모든 심각한 문제를 해결하여 앱 데이터를 안전하게 유지하는 것을 강력히 권장합니다. 앱을 크게 변경할 때마다 보안 검토를 다시 수행하세요.
보안 스캐너에서 경고나 오류가 없다고 해서 앱에 보안 문제가 없다는 것을 보장하지 않습니다. 배포 전에 사용 가능한 도구를 사용하여 앱의 보안을 철저히 검토하거나, 앱이 민감한 개인 데이터를 다루고 중요한 기능을 제공하며 잠재적인 데이터 침해가 실제 사람들에게 심각한 결과를 초래할 수 있는 경우 전문 보안 컨설턴트를 고용하여 앱 감사를 수행하는 것을 권장합니다.
Lovable은 배포 전에 코드의 잠재적인 취약점을 식별하는 데 도움이 되는 포괄적인 AI 기반 보안 스캐닝을 포함합니다.
보안 뷰
보안 뷰는 다양한 소스의 발견 사항을 표시합니다: 데이터베이스 보안 어드바이저, 데이터베이스 스키마 및 RLS(Row Level Security) 정책에 대한 심층 AI 검토, 코드에 대한 AI 기반 보안 검토. 이 종합적인 접근 방식은 잠재적인 보안 문제에 대한 더 넓은 범위를 보장합니다.
발견 사항은 심각도 수준별로 분류됩니다:
- Error: 즉시 해결해야 하는 중요한 보안 문제. "수정 시도" 옵션이 포함되어 있지만 모든 경우에 문제가 해결된다고 보장되지는 않습니다.
- Warning: 검토하고 해결해야 할 중요한 보안 우려 사항.
- Info: 고려할 일반적인 보안 권장 사항 및 모범 사례.
"보안 검토" 버튼은 데이터베이스 스키마와 RLS 정책을 넘어 추가적인 보안 취약점에 대한 애플리케이션 코드를 검사하는 전체 코드베이스를 포함하는 더 포괄적인 AI 분석을 트리거합니다.
온디맨드 보안 검토
Lovable에게 "내 앱의 보안을 검토해줘" 또는 비슷한 표현으로 요청하면 언제든지 보안 검토를 요청할 수 있습니다. Lovable은 다음을 수행합니다:
- 전체 코드베이스에서 보안 취약점을 분석합니다.
- XSS 방지, 입력 살균화, 인증 결함과 같은 일반적인 문제를 확인합니다.
- RLS 정책과 데이터베이스 보안을 검토합니다.
- 구체적인 권장 사항이 포함된 상세 보고서를 제공합니다.
기억하세요: 스캐너에서 경고가 없더라도 프로덕션 애플리케이션에 대해 주기적으로 온디맨드 보안 검토를 요청하는 것이 좋습니다.
발견 사항 유형과 해결 방법
대부분의 발견 사항은 "수정 시도" 버튼을 눌러 자동으로 해결할 수 있지만, 일부는 수동 개입이 필요합니다.
유출된 비밀번호 보호 비활성화됨
Lovable Cloud를 사용하는 경우, Cloud -> Users -> Auth Settings -> Email에서 "Password HIBP Check" 스위치를 활성화하세요.
Supabase DB를 사용하는 경우, 다음 지침을 따르세요: https://supabase.com/docs/guides/auth/password-security#password-strength-and-leaked-password-protection