코드에 서명해야 할까? — 'Default Signed' 캠프의 논리와 현실

unsigned 코드의 위험성을 피하기 위해 '기본적으로 서명'을 주장하는 개발자들의 이유와 실무 적용 가이드

코드를 작성할 때 ‘서명(signed)’과 ‘비서명(unsigned)’ 중 어떤 것을 선택해야 할까? 이 질문은 특히 C/C++ 개발자들에게는 영원의 논쟁거리다. 어떤 개발자는 “성능을 위해 unsigned가 필수”라고 주장하고, 또 어떤 개발자는 “버그와 보안 위험을 줄이려면 signed가 기본이어야 한다”고 반박한다. 오늘은 ‘Signed By Default Camp’의 관점과 그 실체에 대해 깊이 파헤쳐 보겠다.

이 논쟁의 핵심은 ‘인간은 실수하기 마련’이라는 사실에서 출발한다. gingerBill과 같은 개발자들은 “unsigned를 사용하면 모든 연산에서 오버플로우, 언더플로우, 부호 오류 등 예기치 못한 동작이 발생할 위험이 커진다”고 지적한다. 반면 unsigned 옹호자들은 “메모리 최적화나 비트 연산에서 unsigned가 더 직관적”이라고 주장한다. 그런데 과연 이 선택이 단순히 ‘선호도의 문제’일까?

‘Signed By Default’ 캠프의 핵심 주장

‘Signed By Default’ 캠프의 가장 큰 논거리는 ‘안전성’이다. signed 정수형은 다음과 같은 이점을 제공한다:

명확한 오류 검출: signed 정수형에서 음수가 발생하면 (예: 루프 카운터가 0 아래로 내려가면) 컴파일러가 경고하거나 런타임에 예외를 발생시킬 수 있다. unsigned는 silently wrap-around(감싸기)되어 버그를 숨기기 쉽다.
인간 직관과 일치: 대부분의 수학적 연산은 signed context에서 이루어진다. 예를 들어, 배열 인덱스가 -1이 되는 것은 명백한 오류지만, unsigned로 선언하면 4294967295(32비트 기준) 같은 거대한 값으로 변환되어 디버깅을 어렵게 만든다.
보안 취약점 감소: unsigned를 잘못 사용하면 정수 오버플로우로 인한 보안 취약점(예: 버퍼 오버플로우)이 발생할 수 있다. signed는 이러한 위험을 완화하는 데 도움이 된다.

gingerBill은 자신의 블로그에서 “unsigned를 사용하려면 ‘매우 능숙하고 모든 연산에 주의를 기울여야 한다’”라고 강조한다. 하지만 현실적으로 대부분의 개발자가 그 정도 집중력을 유지하기 어렵다는 것이 그의 주장이다. 즉, ‘Signed By Default’는 실수를 최소화하는 방어적 프로그래밍의 한 형태다.

unsigned 캠프의 반론과 한계

반면, unsigned를 선호하는 개발자들은 다음과 같은 이유로 signed를 거부한다:

메모리 효율성: unsigned는 같은 비트 수에서 더 큰 양의 값을 표현할 수 있다. 예를 들어, 8비트 unsigned는 0~255를 표현할 수 있지만, signed는 -128~127에 그친다.
비트 연산의 단순성: 비트 플래그나 마스크를 다룰 때 unsigned가 더 직관적이다. signed의 부호 비트(sign bit)가 예상치 못한 동작을 유발할 수 있기 때문이다.
하드웨어 호환성: 일부 하드웨어 레지스터나 API가 unsigned를 강제하는 경우가 있다.

그러나 이러한 이점들은 ‘특정 상황’에서만 유효하다. 예를 들어, 배열의 크기를 나타내는 size_t는 unsigned지만, 이는 ‘크기’가 음수가 될 수 없는 개념이기 때문이다. 하지만 루프 카운터나 인덱스 계산에서는 signed가 더 안전할 수 있다.

실무에서 ‘Signed By Default’를 적용하는 방법

‘Signed By Default’ 원칙을 실무에 도입하려면 다음과 같은 단계를 고려해 볼 수 있다:

1. 기본 타입을 signed로 설정

프로젝트 초기부터 int, long 등 기본 정수형을 signed로 사용하고, unsigned가 ‘정당한 이유’가 있을 때만 예외적으로 사용하도록 한다. 예를 들어:

// 좋은 예: signed가 기본
int user_age = 25;
int array_index = 0;

// 나쁜 예: unsigned가 불필요
unsigned int loop_counter = 0; // signed가 더 안전

2. 정적 분석 도구 활용

Clang-Tidy, GCC의 -Wsign-compare, -Wconversion 같은 경고 옵션을 활성화하여 signed와 unsigned 간 혼용으로 인한 문제를 조기에 발견한다. 예를 들어:

// 경고 발생: signed vs. unsigned 비교
int a = -1;
unsigned int b = 10;
if (a < b) { // 컴파일러가 경고
    // ...
}

3. unsigned 사용 시 문서화

unsigned를 사용해야 하는 경우, '왜 unsigned인가'를 주석으로 명시한다. 예를 들어:

// unsigned: 비트 플래그로 사용됨
uint32_t flags = 0b1010;

4. 테스트와 리뷰 강화

unsigned가 사용된 코드는 특히 오버플로우, 언더플로우, 부호 변환 등에서 철저히 테스트해야 한다. 코드 리뷰 시 unsigned 사용 여부를 검토하는 것도 좋다.

실제 사례: 어떤 회사들이 'Signed By Default'를 채택할까?

일부 기업과 오픈소스 프로젝트에서 'Signed By Default'를 사실상 표준으로 사용하고 있다. 예를 들어:

Linux 커널: 대부분의 경우 signed를 사용하며, unsigned는 메모리 주소나 크기 같은 특정 경우에만 제한적으로 사용한다.
Google의 C++ 스타일 가이드: 정수 타입 사용 시 signed를 선호하도록 권장한다.
Rust 언어: 기본 정수형인 i32, i64가 signed이며, unsigned는 u32, u64로 명시적으로 사용해야 한다.

이들 사례에서 공통적으로 확인되는 점은 '안전성이 성능보다 우선'이라는 철학이다. 물론 성능이 중요한 경우 unsigned를 사용하지만, 그 결정은 의도적이고 문서화되어 있다.

결론: 지금 당장 할 수 있는 액션

'Signed By Default' 캠프의 주장이 모두 옳은 것은 아니다. 하지만 그들의 논리는 '보안과 안정성을 우선하는 개발 문화'를 반영한다. 실무에서 적용하기 위한 구체적인 액션 플랜은 다음과 같다:

프로젝트 가이드라인 수정: 팀 내 코딩 표준에 'Signed By Default'를 추가하고, unsigned 사용 시 사유를 문서화하도록 한다.
도구 체인 업데이트: 컴파일러 경고 옵션을 활성화하고, 정적 분석 도구를 도입하여 signed/unsigned 관련 이슈를 조기에 발견한다.
교육과 리뷰: 팀원들에게 signed/unsigned의 차이점과 위험성을 교육하고, 코드 리뷰에서 이 부분을 중점적으로 검토한다.
점진적 적용: 기존 코드를 한 번에 모두 바꾸기보다는, 새로운 코드부터 'Signed By Default'를 적용하고, 점진적으로 리팩토링한다.

결과적으로, 'Signed By Default'는 '완벽한 규칙'이 아니라 '더 안전하고 예측 가능한 코드를 작성하기 위한 실용적인 접근법'이다. unsigned가 필요할 때는 사용하되, 그 이유가 명확해야 한다. 개발은 결국 '인간'이 하는 일이기 때문에, 실수를 최소화하는 방향으로 나아가는 것이 현명하다.

FAQ

Signed By Default Camp의 핵심 쟁점은 무엇인가요?

핵심 문제 정의, 비용 구조, 실제 적용 방법, 리스크를 함께 봐야 합니다.

Signed By Default Camp를 바로 도입해도 되나요?

작은 범위에서 실험하고 데이터를 확인한 뒤 단계적으로 확대하는 편이 안전합니다.

실무에서 가장 먼저 확인할 것은 무엇인가요?

목표 지표, 대상 사용자, 예산 범위, 운영 책임자를 먼저 명확히 해야 합니다.

법률이나 정책 이슈도 함께 봐야 하나요?

네. 데이터 수집 방식, 플랫폼 정책, 개인정보 관련 제한을 반드시 점검해야 합니다.

성과를 어떻게 측정하면 좋나요?

비용, 전환율, 클릭률, 운영 공수, 재사용 가능성 같은 지표를 함께 보는 것이 좋습니다.

지금 바로 시작할 수 있는 실무 액션

현재 팀의 AI 활용 범위와 검증 절차를 먼저 문서화합니다.
작은 파일럿 프로젝트로 KPI를 정하고 2~4주 단위로 검증합니다.
보안, 품질, 리뷰 기준을 자동화 도구와 함께 연결합니다.

코드에 서명해야 할까? — ‘Default Signed’ 캠프의 논리와 현실