바이브코딩, 빠르게 만드는 것보다 중요한 것

AI가 만들어준 코드가 화면에서 잘 작동하면 바로 서버에 올리고 싶어집니다. 하지만 “작동한다”와 “운영 서버에서 안전하다”는 전혀 다른 기준입니다. 개발 화면에서는 문제없이 보이는 코드도 실제 사용자 입력, 권한 차이, 공격성 요청, 데이터 오류를 만나면 예상하지 못한 문제가 발생할 수 있습니다.

1. 작동하는 코드와 안전한 코드는 다르다

AI는 요청한 기능을 빠르게 구현하는 데 강하지만, 프로젝트 전체의 인증 구조나 개인정보 처리 정책, 서버 설정까지 자동으로 아는 것은 아닙니다. 제공받은 맥락이 부족하면 기능은 구현했지만 권한 확인이 빠진 코드를 제안할 수 있습니다.

따라서 결과 화면만 보고 배포 여부를 결정하면 안 됩니다. 입력값, 권한, DB 쿼리, 오류 노출, 파일 업로드처럼 운영 환경에서 위험도가 높은 부분을 별도로 검토해야 합니다.

2. 입력값 검증이 빠지면 생기는 문제

폼 입력값을 그대로 DB나 HTML에 사용하면 비정상 데이터나 공격성 문자열이 들어올 수 있습니다. 숫자 필드인지, 허용된 값인지, 길이는 적절한지, 필수값이 있는지 서버 측에서 다시 확인해야 합니다.

특히 브라우저에서 막았다고 해서 안전한 것은 아닙니다. 클라이언트 검증은 우회할 수 있기 때문에 중요한 값은 서버에서도 검증해야 합니다.

3. 로그인보다 더 중요한 것은 권한 확인

로그인한 사용자라고 해서 모든 데이터를 수정할 수 있는 것은 아닙니다. 관리자만 가능한 작업, 작성자 본인만 수정 가능한 글, 특정 등급만 볼 수 있는 데이터처럼 기능마다 권한 규칙이 다릅니다.

AI가 새 처리 파일이나 API를 만들 때 기존 권한 체크를 빠뜨리면 화면에서는 버튼이 숨겨져 있어도 직접 URL 호출로 기능이 실행될 수 있습니다. 따라서 UI 노출 여부와 서버 권한 검사를 별도로 확인해야 합니다.

4. 오류 메시지가 내부 정보를 노출할 수 있다

개발 단계에서는 상세 오류가 디버깅에 도움이 되지만 운영 서버에서는 DB 구조, 파일 경로, 쿼리 내용 같은 정보가 노출되면 위험할 수 있습니다.

사용자에게는 이해 가능한 오류 메시지를 보여주고, 상세 원인은 서버 로그에 남기는 방식으로 분리하는 것이 좋습니다. 실패한 저장이나 결제 같은 작업이 중간 상태로 남지 않는지도 확인해야 합니다.

5. 파일 업로드와 외부 API는 특히 주의해야 한다

파일 업로드는 확장자만 확인해서는 부족합니다. 저장 위치, 실제 파일 유형, 실행 가능 여부, 파일명 처리, 용량 제한 등을 함께 봐야 합니다.

외부 API를 사용할 때는 API 키가 브라우저 코드나 공개 저장소에 노출되지 않는지, 실패 응답과 재시도 처리, 사용량 제한은 어떻게 다룰지도 확인해야 합니다.

6. 배포 전 최소 검증 체크리스트

• 사용자 입력을 서버에서도 검증하는가?
• 관리자·회원·비회원 권한이 올바르게 분리되어 있는가?
• DB 쿼리와 출력값이 안전하게 처리되는가?
• 오류 시 내부 정보가 화면에 그대로 노출되지 않는가?
• 파일 업로드와 다운로드 권한이 적절한가?
• API 키·비밀번호 등 비밀 정보가 코드에 노출되지 않는가?
• 기존 기능 회귀 테스트를 했는가?

AI가 만든 코드도 이 과정을 거치면 충분히 실무에서 활용할 수 있습니다. 핵심은 AI 결과를 “완성 코드”가 아니라 “검토해야 할 개발 결과물”로 보는 것입니다.