💥 오늘은 Spring 기반 웹에서 대표적으로 뽑히는 4가지 공격인 CSRF, XSS, 세션고정, JWT 탈취에 대해 알아보자 ❗❕

---

0 . 공통 원칙

• 각 보안 공격이 다 다르게 보일 수 있지만, 실제로 막는 방법에는 겹치는 핵심 철학이 존재하기에
  중복 방지, 흐름잡기, 실무 적용성이라는 측면에서 4가지 공격을 모두 관통하는 3가지 공통 원칙이라는 방향을 잡고 가겠다.

1️⃣ 최소 권한 + 기본값 보안화 : 프레임워크 기본 보안 헤더/정책은 꺼뜨리지 않을 것
2️⃣ 입력검증 & 출력 인코딩 : 서버/클라이언트 모두에 적용
3️⃣ 쿠키/토큰 위생 : HttpOnly, Secure, SameSite, 짧은 만료, 회전(rotation).

통합 보안 헤더 & 기본 설정 템플릿

@Bean
SecurityFilterChain harden(HttpSecurity http) throws Exception {
    http
      .headers(h -> h
          .contentSecurityPolicy(c -> c.policyDirectives(
              "default-src 'self'; " +
              "script-src 'self'; " +
              "object-src 'none'; " +
              "frame-ancestors 'none'; " +
              "base-uri 'self'"))
          .referrerPolicy(r -> r.policy(ReferrerPolicyHeaderWriter.ReferrerPolicy.NO_REFERRER))
          .permissionsPolicy(p -> p.policy("geolocation=(), microphone=(), camera=()"))
          .xssProtection(x -> x.block(true))
          .httpStrictTransportSecurity(hsts -> hsts
              .includeSubDomains(true).preload(true).maxAgeInSeconds(31536000)))
      .requiresChannel(c -> c.anyRequest().requiresSecure()); // HTTPS 강제
    return http.build();
}

server:
  servlet:
    session:
      tracking-modes: cookie
      cookie:
        http-only: true
        secure: true
        same-site: lax

---

1 . CSRF ( Cross-Site Request Forgery )

⚠ 해당 공격의 문제

• 인증된 사용자가 악의적인 사이트를 방문했을 때, 사용자의 세션 쿠키를 이용해 원하지 않는 요청을 발생시키는 공격.
• 사용자가 로그인해 둔 상태에서 공격자가 다른 사이트 또는 스크립트로 사용자의 브라우저를 이용해 의도치 않은 상태 변경( POST/PUT/DELETE )을 보낸다.

📜 공격 시나리오

• 사용자가 bank.com이라는 은행에 로그인 중인 상황에서 공격 페이지가 ... 형태로 자동 제출을 하면, 은행 쿠키가 자동으로 전송되어 이체가 성립되는 일이 발생 가능.

🌱 Spring Security 대응

• 서버 렌더링 / 폼 기반 : Spring Security CSRF 토큰 기본 활성화. ( 폼에 토큰 포함 )
• SPA + REST API ( 세션 무상태 ) : 일반적으로 CSRF를 비활성화 ( Authorization 헤더 Bearer 토큰 사용 시 ).
  단 쿠키에 인증 정보를 담는 다면 CSRF 대상이므로 토큰을 헤더로 보내거나 더블 서브밋 등을 사용.
• 쿠키 설정 : SameSite=Lax/Strict, HttpOnly, Secure.
• Origin/Referer 검증 ( 상태 변경 요청만 ), CORS 최소화.

🔠 코드

서버 템플릿 / 폼기반

@Bean
SecurityFilterChain security(HttpSecurity http) throws Exception {
	http
    	.csrf(csrf -> csrf // 기본 값 유지 ( 폼 기반일시에는 활성 유지 )
        	.csrfTokenRepository(CookieCsrfTokenRepository.withHttpOnlyFalse()) // JS가 읽어 헤더로 보낼 때에만
        )
        .headers(h -> h.contentSecurityPolicy(c -> c.policyDirectives("default-src 'self'")))
        .authorizeHttpRequests(reg -> reg
        	.requestMatchers("/admin/**").authenticated()
            .anyRequest().permitAll()
        );
     return http.build();
}

REST API + Bearer 토큰

@Bean
SecurityFilterChain api(HttpSecurity http) throws Exception {
	http
    	.csrf(csrf -> csrf.disable()) // 세션/쿠키 대신 Authorization 헤더 사용시
        .sessionManagement(s -> s.sessionCreationPolicy(SessionCreationPolicy.STATELESS));
       return http.build(); 
}

• 체크리스트
  • 상태 변경 요청 : CSRF 토큰 또는 Authorization 헤더를 사용하고 있는가
  • 쿠키 : SameSite=Lax/Strict, Secure, HttpOnly
  • CORS : 허용 도메인 화이트리스트, 크리덴셜 최소화
  • 테스트 : 다른 도메인에서 POST 자동 제출 시 차단되는지 확인

---

2 . XSS ( Cross-Site Scripting )

⚠ 해당 공격의 문제

• 악의적인 스크립트를 사용자의 브라우저에서 실행시켜 세션 탈취, 키 입력 감시 등을 유발한다.
• 사용자 입력이 인코딩/정화없이 HTML로 렌더링될시에 스크립트가 주입될 수 있기에 쿠키 탈취, DOM 변조, 키로깅 등으로 이어진다.

📜 공격 시나리오

• 댓글에 ) 입력 -> 페이지 로드시에 실행

🌱 Spring Security 대응

• 출력 인코딩 : Thymeleaf는 th:text가 기본 escape. JSP는 JSTL c:out 또는 EL 자동 escape 확인.
• Content Security Policy : 인라인/외부 스크립트 제한.
• 입력 정화 ( Sanitization ) : HTML을 받는 필드 JSoup로 허용 태그만 화이트리스트.

🔠 코드

보안 헤더 / CSP

@Bean
SecurityFilterChain security(HttpSecurity http) throws Exception {
    http
      .csrf(csrf -> csrf  // 기본값 유지! (폼 기반이라면 활성 유지)
          .csrfTokenRepository(CookieCsrfTokenRepository.withHttpOnlyFalse()) // JS가 읽어 헤더로 보낼 때만
      )
      .headers(h -> h.contentSecurityPolicy(c -> c.policyDirectives("default-src 'self'")))
      .authorizeHttpRequests(reg -> reg
          .requestMatchers("/admin/**").authenticated()
          .anyRequest().permitAll()
      );
    return http.build();
}

JSoup로 입력 정화

String sanitizeHtml(String raw) {
	return Jsoup.clean(raw, Safelist.basic());
}

• 체크리스트
  • 템플릿 : 텍스트 출력은 반드시 escape인가 ( Thymeleaf th:text 사용 ).
  • HTML 허용 입력 : 서버에서 Sanitize.
  • CSP : script-src 'self' 기본, 인라인 스크립트 금지.
  • 쿠키 : HttpOnly로 JS 접근 차단.

---

3 . 세션 고정 ( Session Fixation )

⚠ 해당 공격의 문제

• 사용자가 로그인하기 전 미리 발급된 세션 ID를 공격자가 알고 있는 상태에서 인증 과정을 유도하고, 로그인 이후에도 같은 세션을 유지하도록 유도합니다.

📜 공격 시나리오

• 공격자가 JSESSIONID=known으로 유도 -> 사용자가 로그인 -> 서버가 같은 세션 ID를 유지하면 공격자는 해당 ID로 접근한다.

🌱 Spring Security 대응

• 세션 고정 보호 기본 활성화 : 로그인 시 세션 재생성 ( migrateSession )
• 쿠키만 세션 전파 : URL 파라미터 (;jsessionid ) 비활성화.
• 쿠키 속성 강화 : HttpOnly, Secure, SameSite.
• 세션 정책 : 동시 세션 수 제한, 비활동 타임아웃.

🔠 코드

@Bean
SecurityFilterChain sessionFix(HttpSecurity http) throws Exception {
    http
        .authorizeHttpRequests(auth -> auth
            .requestMatchers("/login", "/public/**").permitAll()
            .anyRequest().authenticated()
        )
        .sessionManagement(sm -> sm
            .sessionFixation(sf -> sf.migrateSession())
        );

    return http.build();
}

server:
  servlet:
    session:
      tracking-modes: cookie # URL로 세션 전파 금지
      cookie:
        http-only: true
        secure: true  # HTTPS 전제
        same-site: lax

• 체크리스트
  • 로그인 직후 세션 ID가 바뀌는지 확인
  • ;jsessionid가 URL에 붙지 않는지
  • 세션 만료/로그아웃 시 쿠키 무효화

---

4 . JWT 탈취 ( Token Theft )

⚠ 해당 공격의 문제

• 로컬 스토리지/쿠키/네트워크 구간 등에서 JWT가 탈취되면 만료 전까지 누구나 사용 가능.

📜 공격 시나리오

• XSS로 localStorage의 JWT 읽힘.
• 쿠키 저장 시 CSRF로 악용 가능

🌱 Spring Security 대응

• 전송 : 반드시 HTTPS. 가능한 Authorization: Bearer 헤더로 전송 ( 쿠키 사용 시 CSRF 고려 ).
• 보관 : XSS 우려 높으면 HttpOnly 쿠키(+ CSRF 대책) 또는 메모리 저장 + 짧은 액세스 토큰.
• 짧은 Access Token + 긴 Refresh Token + 회전(Rotation).
• 검증 : iss/aud/exp/nbf 확인, 키 롤테이션(KID/JWK), jti로 리플레이 방지/블랙리스트.
• 유출 대응 : Refresh 토큰 재사용 감지 -> 즉시 폐기, 전 계정 로그아웃.
• 서버 측 블랙 리스트/토큰 인 validation 레이어(Redis 등) 도입 고려.

🔠 코드

Spring Security : JWT 필터 골격

@Bean
SecurityFilterChain jwt(HttpSecurity http, JwtAuthFilter jwtFilter) throws Exception {
    http
      .csrf(csrf -> csrf.disable()) // Bearer 헤더 기반
      .sessionManagement(s -> s.sessionCreationPolicy(SessionCreationPolicy.STATELESS))
      .addFilterBefore(jwtFilter, UsernamePasswordAuthenticationFilter.class);
    return http.build();
}

@Component
public class JwtAuthFilter extends OncePerRequestFilter {
    @Override
    protected void doFilterInternal(HttpServletRequest req, HttpServletResponse res, FilterChain chain)
        throws IOException, ServletException {
        String auth = req.getHeader("Authorization");
        if (auth != null && auth.startsWith("Bearer ")) {
            String token = auth.substring(7);
            // 1) 서명/만료/issuer/audience/jti 검증
            // 2) 블랙리스트/리유즈-검출 조회
            // 3) 권한 부여
        }
        chain.doFilter(req, res);
    }
}

• 체크리스트

  • Access Token 만료를 5~15분으로 짧게, Refresh는 회전/재사용 감지.
  • 키 관리 : 비밀키/.jks는 환경변수/Secret Manager, 롤테이션 계획
  • XSS 표면 줄이기(CSP/escape). 가능하면 로컬스토리지 보관을 금지
  • 로그/모니터링 : 토큰 재사용/이상 지역 로그인 탐지.

  ---

  마무리 🔚

웹 보안은 다층 방어를 지향한다.
그렇기에 CSRF, XSS, 세션 고정, JWT 탈취 각각의 문을 닫아두고, 기본 값을 강화하며, 짧은 만료/키롤테이션/ 모니터링을 습관화하여야한다.
보안은 한 번의 설정으로 끝나는 것이 아닌 배포할 때마다 함께 점검해야 하는 체크리스트이다❗
오늘 같이 알아본 것을 토대로 보안을 습관화할 수 있게 노력하자 💯