회의실 관리 시스템 완벽 가이드

WebRTC를 활용한 실시간 회의실 관리 시스템 구축 방법을 초급 개발자도 쉽게 이해할 수 있도록 설명합니다. 회의실 생성부터 참여자 관리, 호스트 권한까지 실무에 필요한 모든 기능을 다룹니다.

---

목차

1. 회의실_생성_및_ID_생성
2. 회의실_입장_로직
3. 참여자_목록_관리
4. 호스트_권한_관리
5. 회의실_잠금_비밀번호
6. 참여자_강퇴_기능

---

1. 회의실_생성_및_ID_생성

시작하며

여러분이 화상회의 서비스를 만들 때 이런 상황을 겪어본 적 있나요? 새로운 회의실을 만들려고 하는데, 어떻게 고유한 ID를 생성해야 할지, 어떤 정보를 저장해야 할지 막막한 순간 말이에요.

이런 문제는 실제 개발 현장에서 자주 발생합니다. 회의실 ID가 중복되면 다른 사람의 회의에 잘못 접속할 수 있고, 필요한 정보를 제대로 저장하지 않으면 나중에 회의실을 관리하기가 매우 어려워집니다.

바로 이럴 때 필요한 것이 체계적인 회의실 생성 시스템입니다. 고유한 ID를 안전하게 생성하고, 회의실에 필요한 모든 정보를 체계적으로 관리하는 방법을 알아볼게요.

개요

간단히 말해서, 회의실 생성은 마치 여러분이 새로운 건물을 지을 때 주소를 부여하는 것과 같습니다. 각 회의실은 절대 겹치지 않는 고유한 주소(ID)가 필요하죠.

실제 서비스에서는 사용자가 "회의 시작" 버튼을 클릭하면 즉시 새로운 회의실이 만들어져야 합니다. 이때 회의실 ID, 생성 시간, 호스트 정보, 설정 등을 데이터베이스에 저장해야 하죠.

예를 들어, Zoom이나 Google Meet에서 새 회의를 시작할 때 "abc-defg-hij" 같은 고유 코드가 생성되는 것처럼요. 기존에는 단순히 숫자를 1씩 증가시켜서 ID를 만들었다면, 이제는 UUID나 랜덤 문자열을 사용해서 예측 불가능하고 안전한 ID를 생성할 수 있습니다.

핵심 특징은 첫째, ID가 절대 중복되지 않아야 하고, 둘째, 쉽게 공유할 수 있도록 적당한 길이여야 하며, 셋째, 보안을 위해 예측하기 어려워야 합니다. 이러한 특징들이 안전하고 사용하기 편한 회의 서비스를 만드는 기초가 됩니다.

코드 예제

// 회의실 생성 함수
function createRoom(hostId, hostName) {
  // 고유한 회의실 ID 생성 (8자리 랜덤 문자열)
  const roomId = generateRoomId();

  // 회의실 정보 객체 생성
  const room = {
    id: roomId,
    hostId: hostId,
    hostName: hostName,
    createdAt: new Date().toISOString(),
    participants: [{ id: hostId, name: hostName, role: 'host' }],
    isLocked: false,
    password: null
  };

  // 데이터베이스에 저장
  saveRoomToDatabase(room);

  return roomId;
}

// 랜덤 ID 생성 함수
function generateRoomId() {
  const characters = 'abcdefghijklmnopqrstuvwxyz0123456789';
  let result = '';
  for (let i = 0; i < 8; i++) {
    result += characters.charAt(Math.floor(Math.random() * characters.length));
  }
  return result;
}

설명

이것이 하는 일: 사용자가 새 회의를 시작하면 고유한 회의실을 만들고, 그 회의실에 대한 모든 정보를 체계적으로 저장합니다. 첫 번째로, generateRoomId() 함수는 8자리의 랜덤 문자열을 생성합니다.

마치 은행에서 계좌번호를 발급하는 것처럼, 알파벳 소문자와 숫자를 조합해서 'a3b7c9d2' 같은 형태의 ID를 만들죠. 이렇게 하는 이유는 누군가 다른 사람의 회의실 번호를 쉽게 추측할 수 없도록 하기 위해서입니다.

그 다음으로, createRoom() 함수가 실행되면서 회의실 정보를 담은 객체를 만듭니다. 이 객체에는 방금 만든 ID, 누가 회의를 시작했는지(호스트), 언제 만들어졌는지, 현재 참여자 목록, 회의실이 잠겨있는지, 비밀번호가 있는지 등의 정보가 모두 들어갑니다.

생성 시간은 ISO 8601 형식('2025-11-20T10:30:00.000Z')으로 저장되어 나중에 "3시간 전에 생성됨" 같은 표시를 할 수 있습니다. 마지막으로, saveRoomToDatabase() 함수가 이 모든 정보를 데이터베이스에 저장하여 최종적으로 회의실 생성을 완료합니다.

호스트는 자동으로 participants 배열의 첫 번째 멤버로 추가되며 'host' 역할을 부여받습니다. 여러분이 이 코드를 사용하면 매번 안전하고 고유한 회의실을 생성할 수 있습니다.

실무에서는 동시에 수천 개의 회의가 진행되어도 절대 ID가 겹치지 않으며, 각 회의실의 상태를 정확하게 추적할 수 있습니다. 또한 호스트 정보를 저장함으로써 나중에 권한 관리나 통계 분석도 가능해집니다.

실전 팁

💡 8자리보다 긴 ID가 필요하면 길이를 늘리세요. 보안이 중요한 서비스라면 12자리 이상을 권장합니다.

💡 ID 생성 시 대문자를 포함하면 혼동될 수 있으니(l과 I, 0과 O) 소문자와 숫자만 사용하는 것이 좋습니다.

💡 같은 ID가 이미 존재하는지 데이터베이스에서 확인하는 로직을 추가하면 더 안전합니다.

💡 createdAt 필드를 활용해서 일정 시간이 지난 빈 회의실은 자동으로 삭제하는 정리 작업을 스케줄링하세요.

💡 회의실 생성 시 사용자 IP나 디바이스 정보도 함께 저장하면 보안 로그로 활용할 수 있습니다.

---

2. 회의실_입장_로직

시작하며

여러분이 친구가 보내준 회의실 링크를 클릭했는데, 이미 꽉 찬 회의실이거나 비밀번호가 걸려있거나, 심지어 존재하지 않는 회의실이라면 어떻게 될까요? 이런 문제는 실제 개발 현장에서 매우 중요한 부분입니다.

사용자가 잘못된 회의실에 접속하거나, 권한이 없는데 들어가거나, 회의실 정원을 초과하면 서비스 전체에 문제가 생길 수 있습니다. 특히 WebRTC는 동시 연결 수에 제한이 있어서 더욱 신경 써야 합니다.

바로 이럴 때 필요한 것이 체계적인 입장 검증 로직입니다. 회의실 존재 여부, 비밀번호, 잠금 상태, 참여자 수 제한 등을 단계적으로 확인해서 올바른 사용자만 안전하게 입장시키는 방법을 알아볼게요.

개요

간단히 말해서, 회의실 입장 로직은 마치 클럽 입구의 도어맨이 손님을 확인하는 것과 같습니다. ID 확인, 예약 확인, 복장 확인을 거쳐 통과된 사람만 들어갈 수 있죠.

실제 서비스에서는 사용자가 회의실 ID를 입력하거나 링크를 클릭하면, 서버가 여러 단계의 검증을 수행합니다. 먼저 그 회의실이 실제로 존재하는지 확인하고, 비밀번호가 설정되어 있다면 올바른 비밀번호를 입력했는지 체크하고, 회의실이 잠겨있지 않은지, 정원이 다 차지 않았는지 등을 순차적으로 확인하죠.

예를 들어, 100명 제한 회의실에 101번째 사람이 들어오려고 하면 "회의실이 꽉 찼습니다"라는 메시지를 보여줘야 합니다. 기존에는 단순히 회의실 ID만 확인했다면, 이제는 다층 보안 검증을 통해 훨씬 안전하고 통제된 입장 프로세스를 만들 수 있습니다.

핵심 특징은 첫째, 단계별 검증으로 어디서 문제가 생겼는지 명확히 알 수 있고, 둘째, 각 단계마다 적절한 에러 메시지를 제공해서 사용자 경험을 개선할 수 있으며, 셋째, 보안과 성능을 동시에 고려한 설계가 가능합니다. 이러한 특징들이 안정적인 회의 서비스의 핵심입니다.

코드 예제

// 회의실 입장 검증 함수
async function joinRoom(roomId, userId, userName, password = null) {
  // 1단계: 회의실 존재 여부 확인
  const room = await getRoomFromDatabase(roomId);
  if (!room) {
    throw new Error('존재하지 않는 회의실입니다.');
  }

  // 2단계: 회의실 잠금 상태 확인
  if (room.isLocked) {
    throw new Error('회의실이 잠겨있습니다. 호스트의 승인이 필요합니다.');
  }

  // 3단계: 비밀번호 확인
  if (room.password && room.password !== password) {
    throw new Error('비밀번호가 올바르지 않습니다.');
  }

  // 4단계: 참여자 수 제한 확인 (최대 100명)
  if (room.participants.length >= 100) {
    throw new Error('회의실 정원이 초과되었습니다.');
  }

  // 5단계: 참여자 추가
  const participant = {
    id: userId,
    name: userName,
    role: 'participant',
    joinedAt: new Date().toISOString()
  };

  room.participants.push(participant);
  await updateRoomInDatabase(room);

  return { success: true, room: room };
}

설명

이것이 하는 일: 사용자가 회의실에 입장하려고 할 때 여러 보안 및 제약 조건을 체크하고, 모든 조건을 통과한 경우에만 참여자로 등록합니다. 첫 번째로, getRoomFromDatabase() 함수로 데이터베이스에서 해당 회의실 정보를 가져옵니다.

만약 null이 반환되면 사용자가 잘못된 ID를 입력했거나 이미 삭제된 회의실이라는 뜻입니다. 이렇게 하는 이유는 존재하지 않는 회의실에 대한 불필요한 연산을 방지하기 위해서입니다.

그 다음으로, isLocked 플래그를 확인합니다. 이것은 호스트가 회의 중에 "더 이상 새로운 사람이 들어오지 못하게 하고 싶을 때" 사용하는 기능입니다.

예를 들어 중요한 논의가 진행 중일 때 문을 잠그는 것처럼요. 비밀번호 검증도 진행하는데, room.password가 설정되어 있으면 사용자가 입력한 password와 비교합니다.

실무에서는 bcrypt 같은 해시 함수로 비밀번호를 암호화해서 저장하는 것이 좋습니다. 세 번째로, 참여자 수가 100명을 초과하는지 확인합니다.

WebRTC는 P2P 방식에서는 보통 4-6명, SFU 방식에서는 수십 명까지 안정적인데, 100명은 합리적인 상한선입니다. 서버 성능과 네트워크 대역폭을 고려한 설정이죠.

마지막으로, 모든 검증을 통과하면 새로운 participant 객체를 만들어서 participants 배열에 추가하고 데이터베이스를 업데이트합니다. 참여자에게는 기본적으로 'participant' 역할이 부여되며, 입장 시간도 기록됩니다.

여러분이 이 코드를 사용하면 불법적인 접근을 차단하고 회의실의 안정성을 유지할 수 있습니다. 실무에서는 각 에러 상황에 대해 사용자에게 명확한 가이드를 제공하여 "왜 입장할 수 없는지", "어떻게 해야 하는지"를 친절하게 알려줄 수 있습니다.

또한 입장 시간을 기록함으로써 "누가 언제 들어왔는지" 추적하여 보안 감사나 사용 통계에 활용할 수 있습니다.

실전 팁

💡 async/await를 사용해서 데이터베이스 조회가 완료될 때까지 기다린 후 다음 단계로 진행하세요.

💡 비밀번호는 절대 평문으로 저장하지 말고 bcrypt나 SHA-256으로 해시화하여 저장하세요.

💡 참여자 수 제한은 환경 변수로 관리하면 나중에 쉽게 조정할 수 있습니다.

💡 입장 실패 시도를 로그로 남겨서 무차별 대입 공격(brute force)을 감지하세요.

💡 동일한 userId가 이미 participants에 있는지 확인해서 중복 입장을 방지하세요.

---

3. 참여자_목록_관리

시작하며

여러분이 회의 중에 "지금 누가 참여하고 있지?", "아까 그 사람은 언제 나갔지?" 같은 궁금증을 가져본 적 있나요? 화면에는 10명이 보이는데 실제로는 12명이 접속되어 있다면 큰 문제가 될 수 있습니다.

이런 문제는 실시간 서비스에서 매우 치명적입니다. 참여자 목록이 실제 상태와 다르면 권한 관리가 제대로 안 되고, 누군가 나갔는데도 리소스가 계속 할당되어 서버 비용이 낭비됩니다.

특히 WebRTC는 각 참여자마다 연결을 유지하므로 정확한 목록 관리가 필수입니다. 바로 이럴 때 필요한 것이 실시간 참여자 목록 동기화 시스템입니다.

누가 들어오고 나가는지 모든 참여자에게 즉시 알려주고, 비정상 종료나 네트워크 끊김도 감지하는 방법을 알아볼게요.

개요

간단히 말해서, 참여자 목록 관리는 마치 교실에서 선생님이 출석부를 관리하는 것과 같습니다. 누가 들어왔는지, 누가 나갔는지, 지금 몇 명이 있는지 실시간으로 파악해야 하죠.

실제 서비스에서는 참여자가 입장하거나 퇴장할 때마다 모든 사람에게 업데이트된 목록을 전송해야 합니다. WebSocket을 사용하면 이런 실시간 동기화가 가능합니다.

예를 들어, Zoom에서 누군가 들어오면 화면 오른쪽 참여자 패널에 즉시 이름이 추가되는 것처럼요. 또한 브라우저 탭을 닫거나 네트워크가 끊겼을 때도 자동으로 퇴장 처리해야 합니다.

기존에는 주기적으로 서버에 요청해서 목록을 새로고침했다면, 이제는 이벤트 기반으로 변경사항이 생길 때만 즉시 푸시하는 효율적인 방식을 사용할 수 있습니다. 핵심 특징은 첫째, 모든 클라이언트가 동일한 참여자 목록을 실시간으로 공유하고, 둘째, 비정상 종료를 감지하는 하트비트(heartbeat) 메커니즘이 있으며, 셋째, 참여자의 상태(음소거, 화면공유 등)도 함께 관리할 수 있습니다.

이러한 특징들이 사용자에게 신뢰할 수 있는 회의 경험을 제공합니다.

코드 예제

// 참여자 입장 이벤트 처리
function handleParticipantJoin(roomId, participant) {
  // 회의실 정보 조회
  const room = getRoomFromMemory(roomId);

  // 참여자 추가
  room.participants.push(participant);

  // 모든 참여자에게 업데이트 브로드캐스트
  broadcastToRoom(roomId, {
    type: 'PARTICIPANT_JOINED',
    participant: participant,
    totalCount: room.participants.length
  });
}

// 참여자 퇴장 이벤트 처리
function handleParticipantLeave(roomId, userId) {
  const room = getRoomFromMemory(roomId);

  // 참여자 목록에서 제거
  const leavingParticipant = room.participants.find(p => p.id === userId);
  room.participants = room.participants.filter(p => p.id !== userId);

  // 모든 참여자에게 업데이트 브로드캐스트
  broadcastToRoom(roomId, {
    type: 'PARTICIPANT_LEFT',
    participant: leavingParticipant,
    totalCount: room.participants.length
  });

  // 마지막 사람이 나가면 회의실 정리
  if (room.participants.length === 0) {
    deleteRoom(roomId);
  }
}

// 참여자 목록 조회
function getParticipants(roomId) {
  const room = getRoomFromMemory(roomId);
  return room.participants.map(p => ({
    id: p.id,
    name: p.name,
    role: p.role,
    isMuted: p.isMuted || false,
    isVideoOn: p.isVideoOn || true
  }));
}

설명

이것이 하는 일: 참여자가 회의실에 들어오거나 나갈 때 목록을 업데이트하고, 모든 참여자에게 변경사항을 즉시 알려서 동일한 상태를 유지합니다. 첫 번째로, handleParticipantJoin() 함수는 새로운 참여자 정보를 받아서 메모리에 있는 회의실 객체의 participants 배열에 추가합니다.

메모리를 사용하는 이유는 실시간 서비스에서 데이터베이스 조회는 너무 느리기 때문입니다. Redis 같은 인메모리 데이터베이스를 사용하면 밀리초 단위의 빠른 응답이 가능합니다.

그 다음으로, broadcastToRoom() 함수가 해당 회의실의 모든 참여자에게 'PARTICIPANT_JOINED' 메시지를 전송합니다. 이 메시지에는 새로 들어온 사람의 정보와 현재 총 인원 수가 포함됩니다.

클라이언트는 이 메시지를 받으면 화면의 참여자 목록에 새 이름을 추가하고, "김철수님이 입장하셨습니다" 같은 알림을 보여줄 수 있습니다. 세 번째로, handleParticipantLeave() 함수는 퇴장하는 사람을 찾아서 배열에서 제거합니다.

filter() 메서드를 사용하면 해당 userId를 가진 객체를 제외한 새 배열이 만들어집니다. 퇴장 메시지도 마찬가지로 모든 참여자에게 브로드캐스트되어 UI에서 해당 사람을 제거하게 됩니다.

마지막으로, 회의실이 비어있는지 확인하는 로직이 있습니다. 마지막 참여자가 나가면 더 이상 사용하지 않는 회의실이므로 메모리에서 삭제하여 리소스를 정리합니다.

이것은 서버 메모리 누수를 방지하는 중요한 가비지 컬렉션 로직입니다. 여러분이 이 코드를 사용하면 모든 참여자가 항상 정확한 참여자 목록을 볼 수 있습니다.

실무에서는 각 참여자의 음소거 상태(isMuted), 비디오 상태(isVideoOn), 손들기(isHandRaised) 같은 추가 정보도 함께 관리하여 풍부한 사용자 인터페이스를 제공할 수 있습니다. 또한 참여자 수를 실시간으로 추적하여 "현재 15명 참여 중" 같은 정보를 표시할 수 있습니다.

실전 팁

💡 WebSocket 연결이 끊어졌을 때 자동으로 퇴장 처리하도록 disconnect 이벤트 리스너를 추가하세요.

💡 하트비트(ping/pong) 메커니즘으로 30초마다 연결 상태를 확인하면 좀비 연결을 방지할 수 있습니다.

💡 참여자 목록을 전송할 때 민감한 정보(IP 주소, 이메일 등)는 제외하고 필요한 필드만 보내세요.

💡 입장/퇴장 이벤트를 데이터베이스에 로그로 남기면 나중에 회의 참석 통계를 분석할 수 있습니다.

💡 대규모 회의실(100명 이상)에서는 참여자 목록을 페이지네이션하여 전송하면 네트워크 부담을 줄일 수 있습니다.

---

4. 호스트_권한_관리

시작하며

여러분이 회의를 주최했는데, 갑자기 누군가 여러분의 화면을 강제로 끄거나 다른 사람을 내보낼 수 있다면 어떨까요? 반대로 호스트가 나갔을 때 누가 회의를 관리할 수 있을까요?

이런 문제는 실제 서비스에서 매우 중요한 보안 이슈입니다. 권한이 제대로 관리되지 않으면 일반 참여자가 호스트 기능을 사용할 수 있고, 호스트가 없어진 회의실은 무법천지가 됩니다.

특히 기업 회의나 교육 플랫폼에서는 권한 시스템이 서비스의 신뢰도를 결정합니다. 바로 이럴 때 필요한 것이 역할 기반 권한 관리 시스템(RBAC)입니다.

호스트, 공동호스트, 일반참여자를 구분하고, 각 역할마다 허용되는 기능을 명확히 정의하며, 호스트 위임까지 안전하게 처리하는 방법을 알아볼게요.

개요

간단히 말해서, 호스트 권한 관리는 마치 회사에서 CEO, 관리자, 직원의 권한을 나누는 것과 같습니다. 각자의 역할에 맞는 권한만 부여해야 하죠.

실제 서비스에서는 호스트만 할 수 있는 기능(참여자 강퇴, 회의실 잠금, 녹화 시작)과 모든 사람이 할 수 있는 기능(마이크 끄기, 채팅 보내기)을 명확히 구분해야 합니다. 예를 들어, Zoom에서는 호스트가 "모두 음소거" 버튼을 누를 수 있지만 일반 참여자는 자기 자신만 음소거할 수 있죠.

또한 호스트가 회의를 나가면서 다른 사람에게 호스트 권한을 넘겨줄 수 있어야 합니다. 기존에는 모든 사람이 모든 기능을 사용할 수 있었다면, 이제는 역할 기반으로 세밀한 권한 제어가 가능합니다.

핵심 특징은 첫째, 각 API 요청마다 권한을 검증하여 무단 사용을 차단하고, 둘째, 호스트 위임을 통해 회의의 연속성을 보장하며, 셋째, 공동호스트 개념으로 유연한 권한 분배가 가능합니다. 이러한 특징들이 전문적이고 안전한 회의 플랫폼의 기반이 됩니다.

코드 예제

// 권한 검증 미들웨어
function checkPermission(roomId, userId, requiredRole) {
  const room = getRoomFromMemory(roomId);
  const participant = room.participants.find(p => p.id === userId);

  if (!participant) {
    throw new Error('참여자를 찾을 수 없습니다.');
  }

  // 역할 계층: host > co-host > participant
  const roleHierarchy = { 'host': 3, 'co-host': 2, 'participant': 1 };

  if (roleHierarchy[participant.role] < roleHierarchy[requiredRole]) {
    throw new Error('권한이 없습니다.');
  }

  return true;
}

// 호스트 권한 위임
function transferHost(roomId, currentHostId, newHostId) {
  // 현재 호스트인지 확인
  checkPermission(roomId, currentHostId, 'host');

  const room = getRoomFromMemory(roomId);

  // 이전 호스트를 일반 참여자로 변경
  const oldHost = room.participants.find(p => p.id === currentHostId);
  oldHost.role = 'participant';

  // 새 호스트 지정
  const newHost = room.participants.find(p => p.id === newHostId);
  if (!newHost) {
    throw new Error('대상 참여자를 찾을 수 없습니다.');
  }
  newHost.role = 'host';

  // 모든 참여자에게 알림
  broadcastToRoom(roomId, {
    type: 'HOST_TRANSFERRED',
    oldHostId: currentHostId,
    newHostId: newHostId,
    newHostName: newHost.name
  });

  return { success: true };
}

// 공동호스트 지정
function assignCoHost(roomId, hostId, targetUserId) {
  checkPermission(roomId, hostId, 'host');

  const room = getRoomFromMemory(roomId);
  const target = room.participants.find(p => p.id === targetUserId);

  if (!target) {
    throw new Error('대상 참여자를 찾을 수 없습니다.');
  }

  target.role = 'co-host';

  broadcastToRoom(roomId, {
    type: 'CO_HOST_ASSIGNED',
    userId: targetUserId,
    userName: target.name
  });

  return { success: true };
}

설명

이것이 하는 일: 회의실에서 누가 어떤 기능을 사용할 수 있는지 제어하고, 필요에 따라 호스트 권한을 다른 사람에게 안전하게 넘겨줍니다. 첫 번째로, checkPermission() 함수는 모든 중요한 기능 실행 전에 호출됩니다.

이 함수는 요청한 사람이 회의실에 실제로 참여하고 있는지 확인하고, 그 사람의 역할(role)을 체크합니다. roleHierarchy 객체는 host가 가장 높은 권한(3), co-host는 중간(2), participant는 낮은 권한(1)을 가진다고 정의합니다.

만약 일반 참여자가 호스트 권한이 필요한 기능을 호출하면 에러를 던져서 실행을 차단합니다. 그 다음으로, transferHost() 함수가 호스트 권한을 이전합니다.

먼저 현재 요청자가 진짜 호스트인지 checkPermission()으로 검증한 후, 이전 호스트의 role을 'participant'로 변경하고 새로운 사람의 role을 'host'로 설정합니다. 이것은 마치 회사에서 CEO가 물러나고 새 CEO가 임명되는 것과 같습니다.

중요한 점은 한 회의실에는 항상 단 한 명의 호스트만 존재한다는 것입니다. 세 번째로, assignCoHost() 함수는 호스트만 실행할 수 있으며, 일반 참여자를 공동호스트로 승격시킵니다.

공동호스트는 참여자 음소거, 채팅 관리 등 일부 관리 기능을 사용할 수 있지만 호스트 위임이나 회의 종료 같은 최고 권한은 없습니다. 마지막으로, 모든 권한 변경사항은 broadcastToRoom()을 통해 전체 참여자에게 알립니다.

클라이언트는 이 메시지를 받으면 UI를 업데이트하여 새로운 호스트 옆에 왕관 아이콘을 표시하거나, 공동호스트에게 추가 버튼을 활성화할 수 있습니다. 여러분이 이 코드를 사용하면 회의실의 보안과 질서를 유지할 수 있습니다.

실무에서는 각 기능(녹화, 화면공유, 투표 생성)마다 필요한 권한 레벨을 정의하고, API 엔드포인트에서 자동으로 권한을 체크하는 미들웨어를 적용합니다. 예를 들어 "참여자 강퇴" 기능은 co-host 이상, "회의 종료"는 host만 가능하도록 세밀하게 설정할 수 있습니다.

또한 권한 변경 이력을 로그로 남겨서 나중에 "누가 언제 호스트가 되었는지" 감사 추적이 가능합니다.

실전 팁

💡 호스트가 회의를 나가기 전에 반드시 다른 사람에게 권한을 위임하도록 UI에서 경고 메시지를 보여주세요.

💡 호스트가 권한 위임 없이 나가면 자동으로 가장 먼저 들어온 참여자를 호스트로 지정하는 폴백 로직을 추가하세요.

💡 공동호스트는 여러 명 지정할 수 있지만, 실제 호스트는 항상 한 명만 유지하세요.

💡 권한 검증은 서버에서만 수행하고, 클라이언트의 요청을 절대 신뢰하지 마세요.

💡 역할별로 사용 가능한 기능 목록을 설정 파일로 관리하면 나중에 권한 정책을 쉽게 변경할 수 있습니다.

---

5. 회의실_잠금_비밀번호

시작하며

여러분이 중요한 팀 미팅을 하는데, 갑자기 모르는 사람이 들어와서 회의 내용을 엿듣는다면 어떨까요? 또는 회의 링크가 SNS에 퍼져서 아무나 들어올 수 있다면 큰 문제가 되겠죠.

이런 문제는 특히 비공개 회의나 기업 미팅에서 매우 심각한 보안 위협입니다. 회의 링크만 있으면 누구나 접속할 수 있다면 기밀 정보가 유출될 수 있고, 트롤링이나 방해 행위를 막을 방법이 없습니다.

Zoom bombing(줌 폭탄)이라는 용어가 생길 정도로 실제로 자주 발생하는 문제입니다. 바로 이럴 때 필요한 것이 회의실 잠금과 비밀번호 시스템입니다.

회의 시작 후 문을 잠그거나, 처음부터 비밀번호를 설정해서 초대받은 사람만 입장할 수 있게 하는 방법을 알아볼게요.

개요

간단히 말해서, 회의실 잠금과 비밀번호는 마치 여러분 집의 현관문과 비밀번호 자물쇠 같은 것입니다. 문을 잠그면 아무도 들어올 수 없고, 비밀번호를 아는 사람만 들어올 수 있죠.

실제 서비스에서는 두 가지 방식으로 회의실을 보호합니다. 첫째는 회의실 잠금(Lock)으로, 호스트가 버튼 하나로 회의실을 잠그면 그 이후로는 아무도 입장할 수 없습니다.

둘째는 비밀번호로, 회의실 생성 시 또는 회의 중에 비밀번호를 설정하면 올바른 비밀번호를 입력한 사람만 들어올 수 있습니다. 예를 들어, Google Meet의 "참가자 추가 차단" 기능이나 Zoom의 "대기실" 기능과 유사합니다.

기존에는 링크만 있으면 누구나 들어올 수 있었다면, 이제는 다층 보안으로 원치 않는 접근을 완전히 차단할 수 있습니다. 핵심 특징은 첫째, 호스트가 실시간으로 잠금 상태를 제어할 수 있고, 둘째, 비밀번호는 암호화되어 저장되며, 셋째, 잠금과 비밀번호를 동시에 사용하여 이중 보안을 구현할 수 있습니다.

이러한 특징들이 안전하고 신뢰할 수 있는 비공개 회의 환경을 만듭니다.

코드 예제

// 회의실 잠금 토글
function toggleRoomLock(roomId, hostId, isLocked) {
  // 호스트 권한 확인
  checkPermission(roomId, hostId, 'host');

  const room = getRoomFromMemory(roomId);
  room.isLocked = isLocked;

  // 데이터베이스에도 반영
  updateRoomInDatabase(room);

  // 모든 참여자에게 알림
  broadcastToRoom(roomId, {
    type: 'ROOM_LOCK_CHANGED',
    isLocked: isLocked,
    message: isLocked ? '회의실이 잠겼습니다.' : '회의실 잠금이 해제되었습니다.'
  });

  return { success: true, isLocked: isLocked };
}

// 비밀번호 설정
function setRoomPassword(roomId, hostId, password) {
  checkPermission(roomId, hostId, 'host');

  const room = getRoomFromMemory(roomId);

  // 비밀번호 해시화 (bcrypt 사용)
  const hashedPassword = hashPassword(password);
  room.password = hashedPassword;

  updateRoomInDatabase(room);

  broadcastToRoom(roomId, {
    type: 'PASSWORD_SET',
    message: '회의실에 비밀번호가 설정되었습니다.'
  });

  return { success: true };
}

// 비밀번호 검증 (입장 시 사용)
function verifyRoomPassword(roomId, inputPassword) {
  const room = getRoomFromMemory(roomId);

  // 비밀번호가 설정되지 않은 경우
  if (!room.password) {
    return true;
  }

  // 해시 비교
  return comparePassword(inputPassword, room.password);
}

// 비밀번호 제거
function removeRoomPassword(roomId, hostId) {
  checkPermission(roomId, hostId, 'host');

  const room = getRoomFromMemory(roomId);
  room.password = null;

  updateRoomInDatabase(room);

  broadcastToRoom(roomId, {
    type: 'PASSWORD_REMOVED',
    message: '회의실 비밀번호가 제거되었습니다.'
  });

  return { success: true };
}

설명

이것이 하는 일: 호스트가 회의실의 보안 설정을 제어하여 승인된 사람만 참여할 수 있도록 합니다. 첫 번째로, toggleRoomLock() 함수는 회의실의 잠금 상태를 켜거나 끕니다.

isLocked 플래그가 true가 되면 앞서 본 joinRoom() 함수에서 "회의실이 잠겨있습니다" 에러가 발생하여 새로운 사람의 입장을 막습니다. 이것은 회의가 시작된 후에 호스트가 "이제 멤버가 다 모였으니 문을 닫자"라고 결정할 때 사용합니다.

실시간으로 모든 참여자에게 잠금 상태 변경을 알려서 UI에 자물쇠 아이콘을 표시할 수 있습니다. 그 다음으로, setRoomPassword() 함수는 비밀번호를 설정합니다.

가장 중요한 부분은 절대로 비밀번호를 평문(plain text)으로 저장하지 않는다는 것입니다. hashPassword() 함수는 bcrypt 같은 일방향 해시 알고리즘을 사용하여 "1234"를 "$2b$10$N9qo8uLOickgx2ZMRZoMyeIjZAgcfl7p92ldGxad68LJZdL17lhWy" 같은 복잡한 문자열로 변환합니다.

이렇게 하면 데이터베이스가 해킹당해도 실제 비밀번호를 알 수 없습니다. 세 번째로, verifyRoomPassword() 함수는 사용자가 입장할 때 입력한 비밀번호가 맞는지 확인합니다.

comparePassword() 함수는 입력된 평문 비밀번호를 같은 방식으로 해시화한 후 저장된 해시와 비교합니다. 비밀번호가 설정되지 않은 회의실(room.password가 null)은 바로 true를 반환하여 자유롭게 입장할 수 있습니다.

마지막으로, removeRoomPassword() 함수는 호스트가 비밀번호를 제거할 때 사용합니다. 회의 도중 "이제 공개 회의로 전환하고 싶다"고 결정하면 비밀번호를 null로 설정하여 누구나 입장할 수 있게 만듭니다.

여러분이 이 코드를 사용하면 회의의 프라이버시를 완벽하게 보호할 수 있습니다. 실무에서는 비밀번호 입력 실패 횟수를 제한하여 무차별 대입 공격을 방지하고(예: 5번 실패 시 5분간 차단), 비밀번호 강도를 검사하여 "최소 6자 이상, 숫자 포함" 같은 규칙을 강제할 수 있습니다.

또한 잠금과 비밀번호를 조합하여 "비밀번호를 아는 사람도 잠금 시간에는 못 들어오게" 하는 이중 보안도 가능합니다.

실전 팁

💡 비밀번호는 최소 6자 이상으로 제한하고, 너무 쉬운 비밀번호("1234", "password")는 경고 메시지를 표시하세요.

💡 bcrypt의 salt rounds는 10-12 사이로 설정하여 보안과 성능의 균형을 맞추세요.

💡 비밀번호 입력 실패를 로그로 남겨서 보안 이벤트를 모니터링하세요.

💡 회의 링크에 비밀번호를 포함시키는 옵션을 제공하면 사용자 편의성이 높아집니다 (예: meet.com/abc123?pwd=5678).

💡 회의실 잠금 시 이미 대기 중인 사람들을 어떻게 처리할지 정책을 정하세요 (자동 거부 vs 호스트 승인).

---

6. 참여자_강퇴_기능

시작하며

여러분이 온라인 수업이나 회의를 진행하는데, 누군가 계속 방해를 하거나 부적절한 행동을 한다면 어떻게 해야 할까요? 그냥 참고 넘어가야 할까요, 아니면 그 사람을 내보낼 방법이 있을까요?

이런 문제는 실제 온라인 플랫폼에서 매우 자주 발생합니다. 트롤링, 스팸, 부적절한 화면 공유 등으로 회의 진행이 방해받으면 다른 참여자들의 경험까지 망치게 됩니다.

특히 교육 플랫폼이나 공개 웨비나에서는 참여자 관리 기능이 필수입니다. 바로 이럴 때 필요한 것이 참여자 강퇴 기능입니다.

호스트나 공동호스트가 문제를 일으키는 사람을 즉시 퇴장시키고, 필요하면 재입장까지 차단하는 방법을 알아볼게요.

개요

간단히 말해서, 참여자 강퇴 기능은 마치 경비원이 문제를 일으키는 손님을 건물 밖으로 내보내는 것과 같습니다. 필요하면 블랙리스트에 올려서 다시 들어오지 못하게 할 수도 있죠.

실제 서비스에서는 호스트나 공동호스트가 특정 참여자를 선택해서 "강퇴" 버튼을 누르면 그 사람의 연결을 즉시 끊고 회의실에서 제거해야 합니다. 단순히 연결만 끊는 것이 아니라 같은 사람이 다시 들어오지 못하도록 블랙리스트에 추가할 수도 있습니다.

예를 들어, Zoom의 "Remove" 기능처럼 강퇴된 사람은 같은 회의실 ID로 재입장할 수 없습니다. 기존에는 문제가 생겨도 회의를 종료하고 새로 만드는 수밖에 없었다면, 이제는 문제 참여자만 선택적으로 제거하여 회의를 정상적으로 계속할 수 있습니다.

핵심 특징은 첫째, 강퇴 즉시 해당 참여자의 모든 연결이 끊기고, 둘째, 블랙리스트 기능으로 재입장을 영구 차단할 수 있으며, 셋째, 강퇴 이유를 기록하여 나중에 검토할 수 있습니다. 이러한 특징들이 건전하고 안전한 회의 환경을 만듭니다.

코드 예제

// 참여자 강퇴 함수
function kickParticipant(roomId, kickerId, targetUserId, reason = '') {
  // 호스트 또는 공동호스트 권한 확인
  checkPermission(roomId, kickerId, 'co-host');

  const room = getRoomFromMemory(roomId);

  // 대상 참여자 찾기
  const targetParticipant = room.participants.find(p => p.id === targetUserId);
  if (!targetParticipant) {
    throw new Error('대상 참여자를 찾을 수 없습니다.');
  }

  // 호스트는 강퇴할 수 없음
  if (targetParticipant.role === 'host') {
    throw new Error('호스트는 강퇴할 수 없습니다.');
  }

  // 블랙리스트에 추가 (재입장 방지)
  if (!room.blacklist) {
    room.blacklist = [];
  }
  room.blacklist.push({
    userId: targetUserId,
    userName: targetParticipant.name,
    kickedBy: kickerId,
    kickedAt: new Date().toISOString(),
    reason: reason
  });

  // 참여자 목록에서 제거
  room.participants = room.participants.filter(p => p.id !== targetUserId);

  // 강퇴당한 사람에게 직접 메시지 전송
  sendToUser(targetUserId, {
    type: 'KICKED_FROM_ROOM',
    reason: reason || '회의실에서 제거되었습니다.',
    roomId: roomId
  });

  // 나머지 참여자들에게 알림
  broadcastToRoom(roomId, {
    type: 'PARTICIPANT_KICKED',
    userId: targetUserId,
    userName: targetParticipant.name
  });

  // 데이터베이스 업데이트
  updateRoomInDatabase(room);

  return { success: true };
}

// 블랙리스트 확인 (입장 시 사용)
function isBlacklisted(roomId, userId) {
  const room = getRoomFromMemory(roomId);

  if (!room.blacklist) {
    return false;
  }

  return room.blacklist.some(entry => entry.userId === userId);
}

// 블랙리스트 해제
function unblacklistUser(roomId, hostId, targetUserId) {
  checkPermission(roomId, hostId, 'host');

  const room = getRoomFromMemory(roomId);

  if (!room.blacklist) {
    return { success: false, message: '블랙리스트가 비어있습니다.' };
  }

  room.blacklist = room.blacklist.filter(entry => entry.userId !== targetUserId);
  updateRoomInDatabase(room);

  return { success: true };
}

설명

이것이 하는 일: 회의 진행을 방해하는 참여자를 즉시 제거하고, 같은 사람이 다시 들어오는 것을 영구적으로 차단합니다. 첫 번째로, kickParticipant() 함수는 강퇴를 실행하는 사람(kicker)이 co-host 이상의 권한을 가지고 있는지 확인합니다.

일반 참여자는 다른 사람을 강퇴할 수 없습니다. 그리고 매우 중요한 안전장치가 있는데, 호스트는 절대 강퇴할 수 없다는 것입니다.

만약 공동호스트가 호스트를 강퇴할 수 있다면 회의실 전체가 혼란에 빠질 수 있기 때문입니다. 그 다음으로, 블랙리스트 배열에 강퇴된 사람의 정보를 추가합니다.

이 배열에는 누가 언제 누구에 의해 강퇴되었는지, 그리고 이유가 무엇인지 모두 기록됩니다. 예를 들어 "부적절한 언행"이나 "스팸" 같은 이유를 저장할 수 있습니다.

이 정보는 나중에 분쟁이 생겼을 때 증거 자료로 활용될 수 있습니다. 세 번째로, participants 배열에서 해당 사람을 제거합니다.

filter() 메서드를 사용하면 targetUserId를 가진 객체만 빼고 새 배열이 만들어집니다. 동시에 강퇴당한 본인에게는 sendToUser()로 직접 메시지를 보내서 "회의실에서 제거되었습니다"라는 알림을 표시합니다.

클라이언트는 이 메시지를 받으면 자동으로 회의실에서 나가고 WebRTC 연결을 끊습니다. 마지막으로, 나머지 참여자들에게 "김철수님이 회의실에서 제거되었습니다" 같은 메시지를 브로드캐스트합니다.

isBlacklisted() 함수는 앞서 본 joinRoom() 함수에서 호출되어, 강퇴된 사람이 다시 입장하려고 하면 "이 회의실에서 차단되었습니다" 에러를 발생시킵니다. 여러분이 이 코드를 사용하면 회의 질서를 효과적으로 유지할 수 있습니다.

실무에서는 강퇴 횟수를 제한하여 호스트의 남용을 방지하고(예: 한 회의에서 최대 10명까지만), 강퇴 이력을 관리자 대시보드에 표시하여 모니터링할 수 있습니다. 또한 "임시 강퇴"와 "영구 차단"을 구분하여, 단순 실수로 강퇴된 사람은 나중에 다시 초대할 수 있는 옵션도 제공할 수 있습니다.

블랙리스트는 회의실별로 관리되므로, A 회의실에서 강퇴되어도 B 회의실에는 정상적으로 입장할 수 있습니다.

실전 팁

💡 강퇴 전에 "정말 이 참여자를 제거하시겠습니까?" 확인 대화상자를 표시하여 실수를 방지하세요.

💡 강퇴 사유를 필수로 입력하게 하면 나중에 분쟁 해결에 도움이 됩니다.

💡 블랙리스트는 회의가 종료되면 자동으로 삭제되도록 설정하거나, 영구 차단 옵션을 별도로 제공하세요.

💡 강퇴 대신 "일시 뮤트" 기능도 함께 제공하여 덜 강력한 제재 수단을 먼저 사용하게 유도하세요.

💡 강퇴된 사용자가 이의를 제기할 수 있는 신고 시스템을 마련하면 플랫폼 신뢰도가 높아집니다.

---