이제와서 PHP로 개발해야하는 이유 part 2

TL;DR: 모던 MVC프레임웍은 기능이 풍부한 대신에 하위호환에 신경을 쓰지 않는다. PHP는 기능은 떨어지는 대신에 장기적으로 안정된 플랫폼을 제공한다. 지금은 어떤 스타일의 개발이 올바른 방식인지 고민해볼 때이다.

전편의 반응이 나쁘지 않아서 시간을 두고 작성하려 했던 2부를 연휴에 바로 작성했습니다. 전편에서는 PHP가 전세계적으로 잘나가는 현상에 대해 이야기 했는데, 실질적인 웹개발 이야기는 빼고 보이는 현상만 다루다보니 2000년대 초반의 악명높은 PHP로 오해하시는 분들도 계시더군요. 이번엔 현재의 웹서버 개발 상황과 모던 PHP에 대해 자세히 설명을 해보겠습니다.

개인적으로 웹서버 개발은 딱히 익사이팅한 작업은 아니라고 생각합니다. 프로그램의 동작 여부와는 상관없는 노가다 작업이 많기 때문입니다.

예를 들자면 일반적인 서버 프로그램은 보통 이런 식으로 동작합니다. 유저 입력이 들어오면 -> 받은 입력을 처리해서 -> 내부로직을 통해 DB의 데이터를 처리하고 -> 결과를 html로 뿌려줍니다. 참 쉽죠?

그런데 이 과정에는 최소한 두가지의 노가다 작업이 필요합니다. 유저에게서 입력받은 데이터가 정상인지 체크하는 Server side validation과, DB의 데이터를 프로그램에서 사용할 수 있는 형식으로 변환해 주는(퉁쳐서 ORM이라고 부르기도 하는) 작업입니다. 이 이외에도 수많은 노가다가 존재합니다만(파일 업로드 처리라던가 pagination이라던가 나열하면 끝이 없습니다.) 이 두가지는 작업량도 많은데다 이미 존재하는 사양을 코드로 변환하는 단순한 과정이기에 재미도 없습니다. 이 중에서 Server side validation은 모든 입력을 대상으로 하지 않으면 보안에 구멍이 생기지만, 안해도 어차피 티가 잘 안나는 작업이라서 누구에게도 인기가 없습니다.

이쯤에서 웹 개발의 초기에 PHP로 작성한 코드를 한번 확인해보겠습니다. 라고 해도, 요즘도 네이버에서 검색하면 지식인에 이런 코드가 나옵니다.

$name = $_GET["name"];
mysql_query("INSERT INTO users (name) VALUES ('$name')", $conn);

정말 끔찍한 코드입니다. Server side validation에 대한 개념 자체가 없네요. $name에 sql injection 코드가 들어가면 DB는 한방에 끝장입니다. 만약에 $name에 script태그라도 들어가 있으면 CSRF에 직빵입니다. 스팸으로 $name에 이상한 값이 들어가게 되면 쓸모없는 유저가 계속 추가되어 디스크와 CPU 자원을 낭비하게 되겠죠. 이런 코드는 바닥부터 새로 만드는 게 훨씬 낫습니다.

세상에는 유저로부터의 입력이 거의 없는 스태틱한 사이트도 있고, DB가 필요없는 사이트도 있기 때문에 대충 만든다고 큰 문제가 되는 경우는 생각보다 많지 않습니다. 하지만 대충 만들어도 되는 사이트에서 프로의 개발자가 짭짤하게 돈벌기는 무척 어려운 일입니다. 돈되는 사이트를 만들려면 바닥부터 제대로 만들어야 하기에, 현장에서는 지겨운 반복 작업을 단순화해 주는 고마운 MVC프레임웍이 활발하게 쓰이고 있습니다.

써보신 분들은 아시겠지만 모던 MVC프레임웍은 기능이 너무 좋아서 지금에 와서 안쓰고 개발한다는 것은 생각할 수도 없습니다. 얼마나 좋은지 Server side validation의 샘플 코드를 통해 확인하고, 마지막으로 모던 PHP 코드와 비교해보겠습니다.

스프링

public class User {
    @Size(min=2, max=30) 
    private String name;
}

@Controller
public class FormController {
    @RequestMapping(value="form", method=RequestMethod.POST)
    public String submitForm(@Valid Subscriber subscriber, BindingResult result, Model m) {
        if(result.hasErrors()) {
            return "formPage";
        }
    }
}

strictly typed 언어임에도 annotation으로 예술적으로 깔끔하게 구현했습니다.

장고

class NameForm(forms.Form):
    name = forms.CharField(max_length=100)

form = NameForm(request.POST)
    if form.is_valid():
        # do something

python 특유의 문법 덕분에 매우 깔끔하게 구현되었습니다.

다음은 루비온레일즈입니다.

class Person < ActiveRecord::Base
  validates :name, presence: true, length: { minimum: 3 }
end
 
person = Person.new
person.valid? # => false
person.errors.messages

가장 짧고 간결할 뿐만아니라 기능도 풍부합니다. 레일즈답네요.

모던 PHP에서는 이렇게 처리가 가능합니다.

class UserForm extends BaseForm {
    public $userid;
    public $sanitizeRules = array(
        "userid" => array(
            'required' => true,
            'filter' => FILTER_SANITIZE_FULL_SPECIAL_CHARS
        ),
    );
}

$form = new UserForm();
if ($form->error) {
   // do something
}

filter_var_array라는 내장 함수를 그대로 이용하는 클래스를 간단하게 만들어서 Server side validation구현해봤습니다. 한눈에 봐도 지저분한 데다 그나마 기본제공 기능만으론 부족해서 필요한 기능을 자체 제작해서 넣어야 쓸만해집니다. (sanitization과 validation을 구별하는 것은 별도로 하고요) 확실히 말해서 PHP의 코드는 어찌어찌 굴러는 가지만 아름답지도 않고 제공하는 기능은 필요 최소한입니다.

여기까지만 보면 왜 열등한 PHP를 써야하는지 이해가 안갈껍니다. 세상엔 훨씬 더 나은 개발환경이 널렸으니까요. 해답은 모던 MVC프레임웍의 업그레이드 가이드에 있습니다.

루비온레일즈의 가이드에 보면 업그레이드에 대해 이렇게 설명해놨습니다..

Before attempting to upgrade an existing application, you should be sure you have a good reason to upgrade. 업그레이드를 하고 싶다면 꼭 해야하는 이유가 있어야 할 것이다.

장고의 가이드엔 이렇게 나와있네요.

While it can be a complex process at times, upgrading to the latest Django version has several benefits. 업그레이드가 복잡한 일이긴 하지만 최신버전으로 업그레이드 해두면 몇가지 좋은 점이 있다.

스프링의 가이드는 업그레이드 시 필요한 과정에 대한 긴 리스트로 이루어져있습니다. 게다가 이미 3.0, 3.1는 서포트가 끝났고, 3.2는 올해말에 끝날 예정이고 4.0은 시큐리티 패치만 지원되고 있다고 하네요. 거기에다 올해말에 나올 Spring 5는 Java8이상만 지원한다는 군요. 한국의 전자정부 프레임웍이 3.x기반으로 알고 있는데 괜찮은지 걱정이 됩니다.

성공한 웹프레임웍 진영에서는 매년 새로운 기능으로 무장한 업데이트 버전이 나오고 있습니다. 그리고 2~3년이 지난 버전은 서서히 지원을 중단하고 있습니다. 이것은 웹 프레임웍의 코어 뿐만이 아니라 생태계에 포함된 라이브러리나 패키지에도 똑같이 적용됩니다. 하이버네이트의 업그레이드 가이드를 보면 스프링을 어떻게 업데이트 한다해도 하이버네이트를 업데이트 하는건 전혀 다른 작업이라는 것을 알 수 있습니다. 장고의 패키지 사이트에서 최근까지 관리가 잘 되고 있는 프로젝트 중 임의로 한 개를 선택해서 확인해보니 2년전에 나온 1.7 이상만 지원하고 있습니다. 지원하는 버전이 많아지면 전부 대응하기 어려우니 오픈소스를 운영하는 입장에서는 당연한 일입니다.

제가 느끼는 최근의 웹 개발은 이런 패턴입니다. 최신의 웹 프레임웍 선정(경우에 따라서 안정성을 위해 한버전 아래를 선택하기도 합니다.) -> 최신 기술을 써서 멋진 사이트 개발 -> 1년후: 새 프레임웍이 나왔지만 아직도 현재 프레임웍이 쓸만하다. -> 2년후: 슬슬 기능 업데이트와 써드 파티의 지원이 끊기고 있다. xxx기능을 쓰고 싶은데 추가가 어려우니 포기한다. 슬슬 업그레이드를 하면 좋겠다고 생각한다. -> 3년후: 보안패치가 끊긴다는데 공격당할 일이 있을까? 이미 오래된 프로젝트라 손대면 할일이 많으니까 조용히 있는다. -> 4년이후: 호환되는 코드가 없고 처음에 개발한 사람도 어디론가 가버렸다. 작은 문제는 땜빵하지만 큰 문제가 생기면 방법이 없다.

개발자들이 최상의 성능을 가진 모던 MVC 프레임웍으로 개발하기 위해서는 최소 3~4년에 한번씩 업그레이드를 해야합니다. (그럼에도 2년째 부터는 개발이 답답해지는 문제가 있습니다.) 그런데 현실적으로 개발자를 위해서, 혹은 유지보수의 편의를 위해서 서버 스택을 적절한 시기에 교체하는 회사는 기술력 중심이거나 급속도로 성장하는 스타트업 정도가 아닐까 합니다. 아무래도 업그레이드 비용에 대한 의견은 개발자와 경영자가 다를 수 밖에 없습니다. 물론 과거의 스택에 그대로 매여있어도 됩니다. 최신 기술을 못쓸 뿐이지 기본적인 기능은 전부 가능한데다 기능이 적어서 심플하고 리퍼런스도 많으니까요. 웹사이트의 성능이 좀 떨어져도 된다면, 그리고 그 스택을 유지 보수할 줄 아는 개발자가 계속 존재한다면 별 상관 없습니다.

하지만 그런 개발은 별로 재미없고 도전적이지도 않습니다. 개발자의 경력에 안좋기도 하구요. 그래서 모던 PHP를 이용한 개발이 의미가 있습니다. PHP로 개발하면 레거시 문제를 효과적으로 다룰수 있는데다 비용을 거의 들이지 않고도 쿨한 새로운 기능(PHP 7.0의 경우 null coalescing operator나 극적으로 개선된 엔진 등)을 쓸 수 있습니다. 모던 PHP개발은 개발자와 경영자가 동시에 만족할 수 있는 방법론입니다.

누구나 다 인정하듯 PHP의 코드는 지저분하기때문에 높은 생산성을 유지하는 것은 쉬운 일이 아닙니다. 노하우를 쌓을 때까지는 많은 시간과 노력이 걸릴것이고, 모던 PHP에 익숙한 개발자를 구하기도 어렵습니다. 하지만 투자의 가치는 있다고 자신합니다. 지금 당장이라도 멋진 사이트를 제작하고 싶으신 분들은 저희 회사로 연락주시면 성심성의껏 상담해 드리겠습니다. 언제든 환영합니다!