Flask-Login

Flask-Login을 사용하려면 먼저 애플리케이션의 사용자를 나타내는 User 모델을 정의해야 한다. 이 모델은 일반적으로 ORM 라이브러리인 SQLAlchemy나 MongoEngine을 통해 데이터베이스에 저장되지만, 어떠한 형태의 사용자 객체도 가능하다. Flask-Login이 이 객체를 인식하고 세션에서 식별할 수 있도록 하려면, 모델 클래스에 특정 메서드와 속성을 구현해야 한다.

가장 중요한 요구사항은 사용자 객체가 최소한 네 가지 속성이나 메서드를 제공하는 것이다. 이들은 is_authenticated, is_active, is_anonymous, get_id()이다. 이러한 요구사항을 쉽게 충족시키기 위해 Flask-Login은 UserMixin 클래스를 제공한다. 사용자 모델 클래스가 UserMixin을 상속받기만 하면, 필요한 기본 구현이 자동으로 제공된다. 이는 가장 일반적이고 권장되는 방법이다.

또한, 사용자 객체의 고유 식별자(ID)를 문자열로 반환하는 get_id() 메서드는 세션에서 사용자를 로드하는 데 핵심적인 역할을 한다. UserMixin을 사용할 경우, 기본적으로 모델의 id 속성을 문자열로 변환하여 반환한다. 만약 다른 필드를 고유 식별자로 사용한다면(예: username), get_id() 메서드를 직접 재정의하여 해당 값을 반환하도록 커스터마이징할 수 있다. 이렇게 설정된 사용자 모델은 이후 LoginManager에 등록되어, 요청마다 적절한 사용자 객체를 찾는 데 사용된다.

Flask-Login 확장을 사용하려면 먼저 애플리케이션에서 LoginManager 객체를 생성하고 초기화해야 한다. 이 작업은 일반적으로 애플리케이션 팩토리 함수나 메인 애플리케이션 파일에서 수행된다. flask_login 모듈에서 LoginManager 클래스를 임포트한 후, LoginManager() 생성자를 호출하여 인스턴스를 만든다.

생성된 LoginManager 객체는 Flask 애플리케이션 인스턴스와 연결되어야 한다. 이는 login_manager.init_app(app) 메서드를 호출하여 이루어진다. 이 단계를 통해 LoginManager는 세션 관리, 로그인 상태 확인, 로그인 페이지로의 리디렉션 등 핵심 기능을 수행할 수 있도록 Flask 애플리케이션과 통합된다. 초기화 과정에서 login_view, login_message, session_protection과 같은 중요한 구성 값을 설정할 수 있다.

가장 일반적으로 설정하는 값은 login_view이다. 이는 로그인이 필요한 페이지에 인증되지 않은 사용자가 접근했을 때 리디렉션될 로그인 URL의 엔드포인트 이름을 지정한다. 예를 들어, login_manager.login_view = 'auth.login'으로 설정하면, 보호된 뷰에 접근 시 auth.login이라는 이름의 뷰 함수로 사용자를 안내한다. LoginManager 초기화는 User 모델 설정과 함께 Flask-Login을 활용하는 기반이 된다.

로그인과 로그아웃 기능을 구현하는 핵심은 login_user()와 logout_user() 함수를 사용하는 것이다. 이 함수들은 각각 사용자 세션을 시작하고 종료하는 역할을 한다. 일반적으로 웹 애플리케이션의 로그인 페이지에서 사용자 인증(예: 아이디와 비밀번호 확인)이 성공한 후, 인증된 사용자 객체를 login_user() 함수에 전달하여 로그인 처리를 완료한다. 반대로 로그아웃은 특정 라우트(예: /logout)에서 logout_user() 함수를 호출하기만 하면 된다.

로그인 뷰의 일반적인 구현 패턴은 다음과 같다. 먼저, 사용자가 제출한 폼 데이터에서 아이디와 비밀번호를 추출한다. 이후, 데이터베이스나 다른 저장소에서 해당 아이디에 맞는 사용자 객체를 조회하고, 비밀번호를 검증한다. 검증이 성공하면 login_user(user)를 호출하여 사용자의 세션을 생성한다. login_user() 함수는 내부적으로 사용자의 고유 식별자를 세션에 저장하여, 이후 요청에서 해당 사용자를 식별할 수 있게 한다. 로그인 성공 후에는 주로 redirect() 함수를 사용해 메인 페이지나 대시보드로 사용자를 이동시킨다.

로그아웃 뷰는 훨씬 더 간단하다. /logout 경로에 연결된 뷰 함수에서 단순히 logout_user()를 호출하면 된다. 이 함수는 현재 로그인된 사용자의 세션 정보를 정리한다. 로그아웃 후에는 일반적으로 로그인 페이지나 홈페이지로 사용자를 리다이렉트한다. @login_required 데코레이터로 보호된 뷰는 로그아웃 후에는 접근할 수 없게 된다.

이 과정에서 LoginManager의 설정, 특히 login_view가 중요하다. login_view는 로그인이 필요한 페이지에 로그인하지 않은 사용자가 접근했을 때 자동으로 리다이렉트될 로그인 페이지의 엔드포인트 이름을 지정한다. 또한, login_user() 함수에는 remember 매개변수를 제공할 수 있는데, 이를 True로 설정하면 사용자의 브라우저에 장기간 유지되는 쿠키를 저장하여 세션이 만료된 후에도 자동 로그인을 가능하게 한다. 이는 사용자 편의성을 높이는 고급 기능이다.

Flask-Login의 핵심 기능 중 하나는 특정 뷰 함수에 접근 제어를 적용하는 것이다. 이를 위해 @login_required 데코레이터를 사용한다. 이 데코레이터가 적용된 뷰 함수는 오직 인증된 사용자만 접근할 수 있다. 만약 인증되지 않은 사용자가 해당 엔드포인트에 접근하려고 하면, Flask-Login은 자동으로 사용자를 로그인 페이지로 리디렉션하거나 HTTP 401 상태 코드를 반환한다. 이는 대시보드나 사용자 프로필 페이지와 같은 보호된 리소스를 구현할 때 필수적이다.

애플리케이션 내 어디서나 현재 로그인한 사용자 정보에 접근하는 것은 매우 간단하다. flask_login 모듈에서 제공하는 current_user 객체를 사용하면 된다. 이 객체는 프록시로서, 사용자가 로그인한 경우에는 설정한 User 모델의 인스턴스를, 로그인하지 않은 경우에는 flask_login.AnonymousUserMixin의 인스턴스를 나타낸다. 따라서 뷰 함수나 템플릿에서 current_user.is_authenticated 속성을 확인하여 사용자의 인증 상태를 판단하거나, current_user.username과 같은 사용자 정의 속성에 직접 접근할 수 있다.

current_user 객체는 플라스크의 요청 컨텍스트 내에서 전역적으로 사용 가능하며, 이를 통해 코드 전반에 걸쳐 일관된 방식으로 사용자 정보를 참조할 수 있다. 예를 들어, 탬플릿 상속을 사용하는 Jinja2 템플릿 내에서 {% if current_user.is_authenticated %} 조건문을 통해 로그인 상태에 따라 다른 메뉴나 콘텐츠를 보여주는 것이 일반적이다. 이는 사용자 경험을 개선하고 비즈니스 로직을 효율적으로 구성하는 데 기여한다.

사용자 로더 함수는 Flask-Login이 세션에 저장된 사용자 식별자를 실제 사용자 객체로 변환하는 핵심 메커니즘이다. 이 함수는 LoginManager 인스턴스에 user_loader 데코레이터를 사용하여 등록한다. Flask 애플리케이션이 보호된 라우트에 대한 요청을 받으면, Flask-Login은 세션에서 사용자 ID를 가져와 등록된 사용자 로더 함수를 호출한다. 이 함수는 주어진 ID에 해당하는 사용자 객체를 데이터베이스나 다른 저장소에서 조회하여 반환해야 한다. 사용자를 찾지 못하면 함수는 None을 반환해야 하며, 이 경우 Flask-Login은 해당 사용자를 익명 사용자로 처리한다.

사용자 로더 함수의 구현은 일반적으로 데이터베이스 쿼리를 포함한다. 예를 들어, SQLAlchemy를 ORM으로 사용하는 경우, 함수 내에서 User.query.get(user_id)와 같은 쿼리를 수행한다. 이 함수는 모든 요청에서 반복적으로 호출될 수 있으므로, 효율적인 쿼리 작성이 중요하다. 또한, 이 함수는 사용자 객체를 반환하기만 하면 되며, 인증(비밀번호 확인 등) 로직을 포함하지 않는다. 인증은 로그인 과정에서 별도로 처리된다.

사용자 로더 함수를 올바르게 설정하지 않으면, 로그인한 사용자임에도 불구하고 current_user가 익명 사용자 객체가 되어 보호된 뷰에 접근할 수 없는 문제가 발생한다. 따라서 Flask-Login을 사용할 때 가장 중요한 설정 단계 중 하나이다. 이 함수를 통해 Flask-Login은 상태 비저장 HTTP 프로토콜 위에서 사용자 세션을 유지하는 무상태(stateless) 방식을 구현한다.

Flask-Login은 로그인하지 않은 방문자를 처리하기 위해 AnonymousUserMixin이라는 클래스를 제공한다. 이 믹스인 클래스는 User 모델과 동일한 인터페이스를 가지도록 설계되어, 뷰 함수나 템플릿에서 현재 사용자 객체에 일관되게 접근할 수 있게 한다. current_user 객체는 로그인한 사용자가 없을 때 자동으로 이 AnonymousUserMixin의 인스턴스가 된다.

AnonymousUserMixin 객체의 핵심 속성은 is_authenticated와 is_active, is_anonymous이다. 로그인한 실제 사용자와 달리, 익명 사용자 객체의 is_authenticated와 is_active 속성은 항상 False를 반환하며, is_anonymous 속성은 항상 True를 반환한다. 이 덕분에 템플릿에서 {% if current_user.is_authenticated %}와 같은 조건문을 사용하여 로그인 상태를 쉽게 판별할 수 있다. 또한, get_id() 메서드는 None을 반환하도록 구현되어 있다.

개발자는 필요에 따라 이 기본 AnonymousUserMixin 클래스를 상속받아 커스터마이징할 수 있다. 예를 들어, 특정 권한 확인 메서드를 추가하거나 기본 속성 값을 변경할 수 있다. 커스텀 클래스를 생성한 후에는 LoginManager의 anonymous_user 속성에 할당하여 Flask-Login이 기본 익명 사용자 클래스 대신 해당 클래스를 사용하도록 설정한다. 이 기능은 모든 사용자(인증된, 익명)에 대해 공통된 인터페이스를 유지하면서도, 프로젝트의 특정 요구사항에 맞춰 익명 사용자의 동작을 세밀하게 제어할 수 있게 해준다.

Flask-Login은 기본적으로 사용자 객체가 특정 속성(id, is_authenticated, is_active, is_anonymous)을 가질 것을 요구한다. 하지만 이러한 기본 속성의 이름이나 동작 방식을 커스터마이징할 수 있어, 기존 데이터베이스 스키마나 ORM 모델과의 통합을 유연하게 할 수 있다.

사용자 클래스에 직접 get_id(), is_authenticated 등의 메서드나 프로퍼티를 구현함으로써 기본 동작을 재정의할 수 있다. 예를 들어, 사용자의 고유 식별자로 id가 아닌 user_id라는 필드를 사용한다면, get_id() 메서드를 오버라이드하여 해당 필드 값을 반환하도록 설정할 수 있다. 이는 SQLAlchemy나 Peewee와 같은 다양한 ORM 라이브러리를 사용할 때 특히 유용하다.

또한, LoginManager의 속성을 설정하여 전역적으로 요구되는 속성 이름을 변경할 수도 있다. LoginManager의 id_attribute를 설정하면, 사용자 객체에서 고유 식별자를 찾을 때 사용할 속성 이름을 지정할 수 있다. 마찬가지로, anonymous_user 속성을 통해 익명 사용자를 나타내는 커스텀 클래스를 지정할 수 있어, 익명 사용자에게도 특정 속성이나 메서드를 부여할 수 있다.

이러한 커스터마이징 기능을 통해, 개발자는 Flask-Login을 자신의 애플리케이션 아키텍처에 맞게 자연스럽게 통합할 수 있으며, 불필요한 리팩토링 없이도 인증 시스템을 구축할 수 있다.