사이트 간 스크립팅(XSS) 방지

Angular 애플리케이션을 손상시킬 수 있는 일반적인 웹 취약점인 XSS 공격을 방지하는 방법을 배웁니다.

사이트 간 스크립팅(XSS)이란?

XSS는 공격자가 신뢰할 수 있는 웹사이트에 악성 스크립트를 삽입할 때 발생하며, 사용자 데이터와 보안이 손상될 수 있습니다.

Angular의 기본 제공 보호 기능

Angular는 기본적인 XSS 공격을 방지하기 위해 데이터를 자동으로 정제합니다. 작동 방식을 이해하면 앱을 더욱 안전하게 보호할 수 있습니다.

입력값 정제

Angular가 자동 보호 기능을 제공하더라도 동적 콘텐츠를 처리할 때는 항상 사용자 입력값을 정제합니다.

import { DomSanitizer } from '@angular/platform-browser';

DomSanitizer 사용

HTML 콘텐츠를 안전하게 바인딩하려면 Angular의 DomSanitizer를 사용합니다.

this.safeHtml = this.sanitizer.bypassSecurityTrustHtml(userHtml);

bypassSecurityTrust* 피하기

bypassSecurityTrust* 메서드는 Angular의 기본 제공 정제를 비활성화하여 위험을 높일 수 있으므로 주의해서 사용합니다.

콘텐츠 보안 정책(CSP)

실행 가능한 스크립트의 출처를 제한하는 CSP 헤더를 구현하여 XSS 위험을 크게 줄입니다.

입력값 검증

악성 콘텐츠가 즉시 거부되도록 클라이언트와 서버 양쪽에서 모든 입력값을 적절히 검증합니다.

요약

Angular 애플리케이션의 XSS 취약점을 방지하는 필수 기법을 배워 전반적인 보안을 강화했습니다!