보안 정책 관리와 자산 관리 기능을 위한 관리자 콘솔 API를 개발할 때 어떤 점을 가장 중요하게 고려하나요?

관리자 콘솔 API에서 보안 관련 버그를 한 번 발견하면 유사한 패턴의 취약점이 다른 곳에도 있는지 전수 확인하는 습관이 생겼습니다. IDOR 취약점이 한 엔드포인트에서 발견되면, 리소스 접근이 있는 모든 엔드포인트를 같은 기준으로 검토했습니다. 감사 로그도 엔드포인트마다 다른 형식으로 남기다 보니 나중에 특정 관리자의 행위를 조회하는 것이 어려웠습니다. 로그 구조를 표준화해서 누가, 언제, 어떤 리소스에, 어떤 작업을 했는지가 일관된 형식으로 남도록 바꿨습니다. 보안 체크리스트를 만들어서 새 관리자 API를 PR에 올릴 때 감사 로그가 있는지, 소유자 검증이 있는지, 요청 속도 제한이 있는지를 확인하도록 했습니다. 이 체크리스트가 코드 리뷰에서 보안 항목을 빠뜨리지 않는 구조를 만들어줬습니다. 보안은 개인의 주의보다 구조적으로 빠뜨리기 어렵게 만드는 것이 재발 방지에 더 효과적이라는 것을 이 경험에서 배웠습니다.