security 17
- CORS는 왜 *와 쿠키를 같이 못 쓰나
- 서버 간 호출을 API 키로 인증하는 필터
- 비밀번호 재설정 링크의 보안 설계 — 일회성·만료·추측 불가 토큰
- 검색엔진 연결에 SSL을 입히는 설정
- 짧은 토큰과 긴 토큰을 같이 쓰는 이유
- 공개 URL에 내부 ID를 그대로 노출하지 않기
- 세션 타임아웃과 자동 로그아웃 설계
- 로그인 시도를 무한히 허용하면 안 된다
- 비밀번호는 암호화가 아니라 해싱이다
- 한 DB에서 여러 집단의 데이터를 가르는 법
- 에러 메시지가 공격자에게 주는 단서
- 프런트 검증은 UX, 서버 검증은 안전
- 폼 전송을 위조하는 공격을 막는 토큰
- SQL 인젝션: 문자열로 쿼리를 만들지 마라
- 남의 데이터를 보게 만드는 ID 하나
- 정렬·필터 파라미터를 화이트리스트로 막기
- 저장된 검색어가 스크립트가 되는 순간