<div id="readability-page-1" class="page"><div><div aria-hidden="false"><a rel="noopener follow" href="/?source=post_page---byline--24563fd40140---------------------------------------"><div><p><img alt="이상문" src="https://miro.medium.com/v2/resize:fill:64:64/1*PdFTYwkEj-ebxhH52VWJ8w.png" width="32" height="32" loading="lazy" data-testid="authorPhoto"></p></div></a></div><h2 id="4458">현재 문제</h2><p id="a888">Android Coil 라이브러리(<code>AsyncImage</code>) 사용시, <code>http://</code>로 시작하는 URL의 이미지를 로드할 때 예외사항이 발생하여 그리지 못하는 문제가 발생했다.</p><h2 id="c5fa">원인</h2><p id="d6ab">Android 9 (Pie, API 28) 등에서 할당한 보안 정책(“Cleartext Traffic” 구조)으로 인해, 안전하게 제공되지 않은(<code>http://</code>) 호스트 리소스는 기본적으로 처리하지 않게 된다.</p><ul><li id="7f57">이 정책은 Android 9 이전 버전에서는 적용되지 않는다.</li><li id="f5b7"><code>https://</code> 호스트를 사용할 경우 문제가 발생하지 않는다.</li></ul><h2 id="9542">회피 방법</h2><p id="d355">각 호스트 또는 app 체계에서 cleartext traffic가 허용되게 만들어주는 것이 필요하다.</p><p id="8423">이를 위해 다음과 같이 설정한다.</p><h2 id="af77">1. res/xml/단위에 설정 파일을 작성한다.</h2><p id="1b2f"><strong>res/xml/network_security_config.xml</strong></p><pre><span id="47fd">&lt;?xml version="1.0" encoding="utf-8"?&gt;<br>&lt;network-security-config&gt;<br>    &lt;base-config cleartextTrafficPermitted="true" /&gt;<br>&lt;/network-security-config&gt;</span></pre><p id="9662">(주의: 앱 전체에 대해 cleartext traffic을 허용할 경우 보안 위험이 커질 수 있다. 보안을 강화하기 위해, 가능한 경우 특정 호스트만 선택적으로 허용하는 방식으로 설정하는 것이 바람직하다.)</p><h2 id="565f">2. AndroidManifest.xml에서 application 태그에 설정을 추가한다.</h2><p id="961c"><strong>AndroidManifest.xml</strong></p><pre><span id="dae3">&lt;application<br>    android:networkSecurityConfig="@xml/network_security_config"<br>    ...&gt;<br>    ...<br>&lt;/application&gt;</span></pre><h2 id="d3d6">3. (선택적) 해당 호스트에만 cleartext traffic를 허용한다.</h2><p id="549d">보안상의 위험을 최소화하기 위해, 필요한 경우에만 허용할 호스트를 명확히 지정하여 설정할 수 있다.</p><pre><span id="dc1a">&lt;?xml version="1.0" encoding="utf-8"?&gt;<br>&lt;network-security-config&gt;<br>    &lt;domain-config cleartextTrafficPermitted="true"&gt;<br>        &lt;domain includeSubdomains="true"&gt;example.com&lt;/domain&gt;<br>    &lt;/domain-config&gt;<br>&lt;/network-security-config&gt;</span></pre><p id="f72d">(그러면 example.com 과 그 하위 단위에 대해서만 http 통신이 허용된다.)</p><h2 id="47b8">점검 원칙</h2><ul><li id="d585">Android 9(API 28)이상에서는 cleartext traffic가 보안상 기본적으로 활성화되어 안전하게 제공되지 않는 리소스의 사용이 차단되어 있다.</li><li id="8c21">Coil은 Android 버전에 따라 http 노드의 호스트에 대해 접근 패턴에 영향을 받는다.</li><li id="cd01">보안을 강화하기 위해 가장 적절한 해결 방식을 고려하는 것이 필요하다.</li></ul><h2 id="ad66">참고</h2><ul><li id="8f33"><a href="https://developer.android.com/training/articles/security-config" rel="noopener ugc nofollow" target="_blank">Android official docs — Network security configuration</a></li><li id="907c"><a href="https://github.com/coil-kt/coil" rel="noopener ugc nofollow" target="_blank">Coil official GitHub repository</a></li></ul><p id="a62a">이 문서를 찾아보면, 같은 문제가 발생할 경우 관련된 문제가 발생했을 경우 잘 해결할 수 있을 것이다.</p></div></div>

Stories by 이상문 on Medium

현재 문제
Android Coil 라이브러리(AsyncImage) 사용시, http://로 시작하는 URL의 이미지를 로드할 때 예외사항이 발생하여 그리지 못하는 문제가 발생했다.
원인
Android 9 (Pie, API 28) 등에서 할당한 보안 정책(“Cleartext Traffic” 구조)으로 인해, 안전하게 제공되지 않은(http://) 호스트 리소스는 기본적으로 처리하지 않게 된다.
이 정책은 Android 9 이전 버전에서는 적용되지 않는다.
https:// 호스트를 사용할 경우 문제가 발생하지 않는다.
회피 방법
각 호스트 또는 app 체계에서 cleartext traffic가 허용되게 만들어주는 것이 필요하다.
이를 위해 다음과 같이 설정한다.
1. res/xml/단위에 설정 파일을 작성한다.
res/xml/network_security_config.xml
<?xml version="1.0" encoding="utf-8"?>
<network-security-config>
    <base-config cleartextTrafficPermitted="true" />
</network-security-config>
(주의: 앱 전체에 대해 cleartext traffic을 허용할 경우 보안 위험이 커질 수 있다. 보안을 강화하기 위해, 가능한 경우 특정 호스트만 선택적으로 허용하는 방식으로 설정하는 것이 바람직하다.)
2. AndroidManifest.xml에서 application 태그에 설정을 추가한다.
AndroidManifest.xml
<application
    android:networkSecurityConfig="@xml/network_security_config"
    ...>
    ...
</application>
3. (선택적) 해당 호스트에만 cleartext traffic를 허용한다.
보안상의 위험을 최소화하기 위해, 필요한 경우에만 허용할 호스트를 명확히 지정하여 설정할 수 있다.
<?xml version="1.0" encoding="utf-8"?>
<network-security-config>
    <domain-config cleartextTrafficPermitted="true">
        <domain includeSubdomains="true">example.com</domain>
    </domain-config>
</network-security-config>
(그러면 example.com 과 그 하위 단위에 대해서만 http 통신이 허용된다.)
점검 원칙
Android 9(API 28)이상에서는 cleartext traffic가 보안상 기본적으로 활성화되어 안전하게 제공되지 않는 리소스의 사용이 차단되어 있다.
Coil은 Android 버전에 따라 http 노드의 호스트에 대해 접근 패턴에 영향을 받는다.
보안을 강화하기 위해 가장 적절한 해결 방식을 고려하는 것이 필요하다.
참고
Android official docs — Network security configuration
Coil official GitHub repository
이 문서를 찾아보면, 같은 문제가 발생할 경우 관련된 문제가 발생했을 경우 잘 해결할 수 있을 것이다.

Android Coil 라이브러리에서 http 리소스 로드 실패 대응 방법 정리

댓글