WEB-13: Race Condition (TOCTOU)

🎟️ 쿠폰 사용

💡 사용 가능한 쿠폰:
• COUPON20 (20,000원)
• COUPON50 (50,000원)
🚨 Race Condition: 여러 탭/창에서 동시에 같은 쿠폰을 사용하면 여러 번 적용될 수 있음

⚠️ Race Condition 공격

시나리오: 동시에 같은 쿠폰을 여러 번 사용

# Terminal 1
while true; do curl -X POST -d "action=use_coupon&coupon_code=COUPON50" http://localhost/web13_race.php; done

# Terminal 2 (동시 실행)
while true; do curl -X POST -d "action=use_coupon&coupon_code=COUPON50" http://localhost/web13_race.php; done

💡 원리:
1. Thread A: 쿠폰 확인 (사용안됨) ✓
2. Thread B: 쿠폰 확인 (아직 쓰지 않음) ✓ ← 동시성 문제
3. Thread A: 쿠폰 적용 & 마크 ✓
4. Thread B: 쿠폰 적용 & 마크 ✓ ← 같은 쿠폰 두 번 적용됨!

결과: 50,000원 쿠폰이 두 번 적용되어 100,000원 할인

🎯 다른 Race Condition 예시:
• 계좌 출금 (A가 100만원 출금 중일 때 B도 동시에 100만원 출금)
• 주식 매수 (수량 체크 후 매수 사이의 시간차 이용)
• 재고 관리 (재고 -1 후 주문 사이의 시간차)

✅ 방어 방법

1. 트랜잭션 & 잠금 (Transaction with Locking):

BEGIN TRANSACTION;
SELECT * FROM coupons WHERE code = ? FOR UPDATE; // 행 잠금
IF used = 0 THEN
UPDATE coupons SET used = 1 WHERE code = ?;
UPDATE user_balance SET balance = balance + ? WHERE id = ?;
COMMIT;

2. 원자적 연산 (Atomic Operation):

// 한 번의 쿼리로 CHECK + USE 동시 수행
$stmt = $db->prepare("UPDATE coupons SET used = 1 WHERE code = ? AND used = 0");
$stmt->execute([$code]);

// 영향받은 행이 1이면 성공, 0이면 이미 사용됨
if ($db->exec("SELECT changes()") === 1) {
// 잔액 업데이트
}

3. 낙관적 잠금 (Optimistic Locking):

// 버전 컬럼 추가
$stmt = $db->prepare("UPDATE coupons SET used = 1, version = version + 1
WHERE code = ? AND version = ?");
$affected = $stmt->execute([$code, $current_version]);
if ($affected !== 1) die('Optimistic lock failed');

4. 데이터베이스 수준의 UNIQUE 제약:

CREATE UNIQUE INDEX idx_coupon_usage
ON coupon_usage(coupon_id, user_id);

// 같은 쿠폰을 두 번 사용하려 하면 UNIQUE 제약 위반으로 실패

5. 분산 잠금 (Distributed Lock):

// Redis, Memcached 등으로 구현
if (!$redis->setnx("coupon:$code:lock", 1)) {
die('Coupon is being processed');
}
$redis->expire("coupon:$code:lock", 10); // 10초 타임아웃

// ... 쿠폰 처리 ...

$redis->del("coupon:$code:lock"); // 잠금 해제

🔄 WEB-13: Race Condition (TOCTOU)

💰 현재 잔액

🎟️ 쿠폰 사용

📋 쿠폰 목록

⚠️ Race Condition 공격

✅ 방어 방법