외부 API는 어디서 호출해야할까?

[f1v3-dev]

카카오 API 를 활용해서 책 정보 검색을 구현하는 요구사항이 존재합니다.

이 때, 책 정보를 불러오는 외부 API를 사용할 때 클라이언트(프론트엔드)와 서버(백엔드) 중 어디에서 호출을 해야할까요?

또한, 호출하는 위치에 따라서 어떤 장/단점이 있을까요?

[f1v3-dev]

현재 생각나는 점들을 정리해보자면,

클라이언트에서 직접 호출한다.

장점

• 빠르게 개발을 진행할 수 있다. (백엔드 측면에서)
• 서버를 거치지 않아 속도 측면에서 더 빠르다.

단점

• API 키가 필요한 경우, 민감한 정보가 노출될 수 있다.
• 불필요한 데이터까지 응답 값으로 받을 수 있다.

서버를 거쳐 호출한다.

장점

• 응답 데이터를 가공해야할 경우, 필요한 데이터만 클라이언트에게 줄 수 있다.
• API 키 정보를 감출 수 있다.
• 캐싱을 통해 불필요한 호출을 막을 수 있다.
• 외부 API 호출 실패시 재시도나 fall back 등 처리가 가능하다 (어려워보이긴 하지만..)

단점

• 응답 데이터를 가공하지 않아도 되는 경우 굳이 1번 더 호출한다.
• 빠르게 개발해야하는 상황에서 조금 더 번거로울 수 있다.
• 서버 부하가 증가할 수 있다.

---

개인적인 생각이지만, 초기에는 프론트에서 바로 호출을 하고, 리팩토링하면서 서버 측에서 호출하는걸로 변경하면 어떨까? 라는 생각이 들기는 하네요

[hwangdaesun]

승조님께서 잘 적어주신 거 같습니다.

추가적인 고려할 점

• 카카오 검색 API에 횟수 제한은 있는가? -> YES
• API 호출 실패 시 데이터의 정합성 문제가 발생할 수 있는가? -> NO

아래는 프론트분들께 궁금한 것입니다.

• 클라이언트에서 직접 호출 시 외부 API 호출 실패시 retry가 불가능한가?
• 클라이언트에서 직접 호출 실패시 fall back이 가능한가?
• 클라이언트에서 직접 호출 시 API키를 노출시키지 않는 방법은 없는 것인가?

[f1v3-dev]

클라이언트에서도 retry, fallback은 가능할 것으로 보여요

다만, API 키 자체가 재발급하지 않는 이상 노출이 되는 점이 조금 걸립니다.
로그인 관점에서는 JWT 값을 헤더에 달고 다니게 될텐데, JWT와 API Key의 노출되는 정보의 성격(만료 기간, 무효화가 가능한지 등)으로 인해서 문제가 되지 않을까? 라는 생각이 들어요