(XSS, CSRF, SQL Injection… 이름만 들어도 무섭다구요? 🤯 걱정마세요, 아주 쉽게 설명해드릴게요!)

👋 Intro.

“어… 보안은 백엔드나 시니어가 신경쓰는 거 아냐?”
라고 생각하셨다면 지금 당장 이 포스팅 정독하셔야 합니다!

프론트엔드, 백엔드 가릴 것 없이 웹 개발자라면 보안은 기본기예요.
아무리 기능이 잘 돌아가도, 보안이 뚫리면…

🙈 "고객 정보 유출", "내 서버가 해커 서버가 됨", "회사 망함"
까지도 현실이 됩니다.

✅ 핵심 보안 이슈 5종 + 기타 5종

(👶 초보자도 개념+예시+방어법까지 3분컷으로 완벽 정복!)

1️⃣ XSS (Cross-Site Scripting)

📌 개념:
웹페이지에 악성 스크립트를 넣어서, 다른 사람의 브라우저에서 실행시키는 공격

예시 시나리오:

• 누군가 댓글에 이렇게 씀:

  <script>alert("해킹됐다!");</script>

• 이게 그대로 출력되면,
  다른 사람이 이 댓글 볼 때 브라우저에서 팝업이 뜸!

왜 위험한가요?

• 브라우저 쿠키 탈취 가능 (세션 하이재킹)
• 피싱 페이지 자동 실행
• 키보드 입력 감시까지 가능 😱

🛡️ 방어법:

• HTML 이스케이프 처리 필수! (< → <)
• React/Vue는 기본적으로 escape 처리해줌
• dangerouslySetInnerHTML, v-html 사용 시 주의!

2️⃣ CSRF (Cross-Site Request Forgery)

📌 개념:
내가 로그인한 상태를 악용해서 몰래 요청을 보내는 공격

예: 난 클릭한 적 없는데, 내 돈이 빠져나감

예시 시나리오:

• 나는 은행 사이트 로그인 중

• 누군가 만든 사이트에 들어가자마자,

  <img src="https://bank.com/transfer?to=hacker&amount=10000" />

  이 요청이 실행됨 (눈에도 안 보임)

🛡️ 방어법:

• CSRF Token (폼마다 랜덤 비밀번호 붙이기)
• SameSite 쿠키 설정 (Strict, Lax)
• 중요한 요청은 GET 대신 POST 사용!

3️⃣ SQL Injection

📌 개념:
입력값으로 데이터베이스 명령어를 조작하는 해킹

예: “로그인 안 해도 로그인됨”

예시 시나리오:

• 아이디에 ' OR 1=1 -- 입력하면

  SELECT * FROM users WHERE id = '' OR 1=1 --;

• 조건이 무조건 참 → 로그인 성공

🛡️ 방어법:

• Prepared Statement (파라미터 바인딩) 사용
• 입력값은 절대 문자열로 직접 붙이지 말기!

4️⃣ Command Injection

📌 개념:
사용자 입력값으로 서버 명령어를 실행시켜버리는 해킹

예시 시나리오:

• 사용자가 이름에 ; rm -rf / 입력

• 서버에서 실행:

  echo "이름: ; rm -rf /"

• 서버 파일 다 날아감

🛡️ 방어법:

• 입력값을 명령어에 직접 넣지 않기
• 꼭 넣어야 할 경우 화이트리스트로 필터링!

5️⃣ 클릭재킹 (Clickjacking)

📌 개념:
내 사이트를 투명 iframe으로 덮어씌워서,
사용자가 엉뚱한 걸 클릭하게 만드는 공격

예시 시나리오:

• 사용자: “좋아요 버튼 눌러야지~”
• 실제론 투명하게 덮인 "자동결제" 버튼 클릭됨

🛡️ 방어법:

• HTTP 헤더: X-Frame-Options: DENY
• CSP: frame-ancestors 'none';

📚 기타 필수 보안 이슈 5종

🛡️ 보안 체크리스트 (진짜 꼭 기억하세요!)

✅ 사용자 입력값은 무조건 검증하기
✅ 화면 출력 시 escape 필수 (<, >, " 등)
✅ POST 요청에 CSRF Token 붙이기
✅ HTTPS 기본! SSL 인증서 사용하기
✅ 보안 헤더 (X-Frame-Options, Content-Security-Policy 등)
✅ 서버/라이브러리 보안 업데이트 주기적 확인
✅ 관리자 기능은 IP 제한 또는 로그인 제한

🎯 마무리:

"보안은 내가 안 뚫렸다고 끝이 아니라, 언제든 뚫릴 수 있다는 생각에서 시작됩니다."

보안을 지키는 건 어렵지 않아요.
단지 ‘모르기 때문에 놓치는 것’일 뿐이죠.
이번 글로 조금이나마 “보안에 강한 개발자”가 되셨기를 바랍니다. 💪💻