아임포트 결제 API 환불 요청 시 액세스 토큰 발급 문제

Question

안녕하세요, 제가 현재 쇼핑몰 프로젝트를 개발 중입니다.

우선, 아임포트 API로 결제 서비스를 개발한 다음, 환불 기능도 추가하려고 찾아보던 도중,

환불 요청을 보내기 위해서는 액세스 토큰을 따로 발급해야 한다고 합니다.

액세스 토큰을 따로 발급을 받기 위해서는 API키와 비밀키를 통해 가져와야 하는데,

보안 상 문제로 서버 사이드에서 액세스 토큰을 발급 받아야한다는 것을 알았습니다.

그러나 react는 클라이언트 사이드 라이브러리인데 그러면 서버 사이드 환경을 만들기 위해 Express 서버를 설치해야만 이 문제를 해결할 수 있나요?

강병진 · Answer

결제는 보안상 서버에서 이루어지는게 맞습니다. 클라이언트에서 결제 api를 직접 호출하면 header에 있는 토큰이라던지 기타 정보들이 모두 유출될 수 있고, 사용자가 3만원짜리 물건을 3원에 구매하는 요청을 바로 보낼수도 있게 되는 위험이 있습니다.

백승훈 · Answer

네 무조건 서버에서 처리하셔야 합니다. 절대 클라이언트에서 하시면 안됩니다.

미니 프로젝트라면 간이 서버 만들어서 하나 다셔서 하시면 될 것 같습니다.