패스키 저장, 이제 통째로 던져두세요 — 필리포의 제안

패스키(WebAuthn)를 서버에 도입할 때 가장 골치 아픈 부분은 저장이다. 자격증명 ID, COSE 공개키, 서명 카운터, transports, 백업 상태, AAGUID 등 스펙이 노출하는 필드가 너무 많아 DB 스키마가 복잡해지고, 특정 라이브러리에 종속돼 나중에 갈아타기도 어렵다. 필리포 발소르다의 제안은 발상을 뒤집는다. 서버가 내부 구조를 파싱하지 말고, 패스키 레코드를 하나의 불투명(opaque) 바이트 블롭으로 통째로 저장하라는 것이다. 그러면 스키마는 사실상 '사용자ID, 자격증명ID, 레코드' 세 칸으로 단순해진다. 핵심은 상호운용성이다. 규격을 따르는 어떤 라이브러리든 같은 레코드를 읽고 검증할 수 있어, 저장 계층과 인증 라이브러리가 깔끔히 분리되고 구현체 교체나 서비스 간 공유가 쉬워진다. 그는 이 원칙을 최소한의 표면적을 가진 Go API로 구현해 보여준다. 패스키를 실제 백엔드에 붙여야 하는 개발자라면 눈여겨볼 접근이다.