Frontend Academy · 강의

XSS 방지: 출력 인코딩과 CSP

반사형·저장형·DOM 기반 XSS를 이해하고, 사용자가 제어하는 출력을 이스케이프하며, 신뢰할 수 없는 데이터에는 innerHTML을 사용하지 않고, Content Security Policy 헤더를 추가합니다.

XSS 방지: 출력 인코딩과 CSP은(는) CoddyKit의 무료 Frontend Academy 강의입니다. 이것은 4개 중 1번째 강의입니다. 아래에서 전체 강의를 무료로 읽을 수 있으며, 내장 코드 에디터와 24/7 AI 튜터와 함께 브라우저에서 직접 실습할 수 있습니다. 이 강의는 Frontend Academy 학습 경로의 일부이며, 진행 상황이 웹과 CoddyKit 앱에 동기화됩니다. Frontend Academy 강의에는 총 4개의 강의가 포함되어 있습니다.

XSS란 무엇인가요?

사이트 간 스크립팅은 공격자가 실행 가능한 JavaScript를 페이지에 주입할 때 발생합니다. 브라우저는 해당 스크립트를 현재 출처의 권한으로 실행하므로 쿠키 탈취, 세션 탈취, 페이지 변조, 악성 코드로의 리디렉션이 발생할 수 있습니다.

XSS의 세 가지 유형

저장형: 악성 스크립트가 DB에 저장되어 모든 방문자에게 제공됩니다. 반사형: 입력값이 응답에 그대로 되돌아옵니다(?q=<script>...). DOM 기반: 클라이언트 측 JS가 신뢰할 수 없는 데이터를 DOM에 씁니다.

근본 원인: 신뢰할 수 없는 데이터와 innerHTML

사용자가 제어하는 문자열을 innerHTML(또는 v-html, dangerouslySetInnerHTML)과 함께 사용하는 것은 가장 대표적인 XSS 공격 벡터입니다.

// BAD: user input rendered as HTML
el.innerHTML = userComment;  // attacker submits <img onerror=alert(1)>

// Vue equivalent:
<div v-html="userComment"></div>  // same bug

// React equivalent:
<div dangerouslySetInnerHTML={{ __html: userComment }} />  // same bug

출력 인코딩 (안전한 기본값)

신뢰할 수 없는 문자열을 HTML이 아닌 텍스트로 처리하세요. React, Vue, Angular, Svelte는 모두 {value} 보간에서 기본적으로 이렇게 처리합니다.

// SAFE: text content, not HTML
el.textContent = userComment;  // <script> shows as literal text

// React (auto-escaped):
<div>{userComment}</div>

// Vue (auto-escaped):
<div>{{ userComment }}</div>

HTML을 렌더링해야 할 때의 정제

정말로 사용자 HTML을 렌더링해야 한다면(서식 있는 텍스트 편집기 등), DOMPurify로 정제하세요. 직접 정규식 정제기를 만들면 안 됩니다.

import DOMPurify from 'dompurify';

const clean = DOMPurify.sanitize(userHtml);
el.innerHTML = clean; // strips <script>, on* handlers, dangerous URLs

URL 검증

href 또는 src에 사용자가 제어하는 URL을 넣으면 javascript: 스킴을 통해 XSS가 발생할 수 있습니다.

// BAD:
<a href={userUrl}>Click</a>
// attacker submits: javascript:alert(1)

// GOOD: whitelist protocols:
function safeUrl(url) {
  if (!/^https?:\/\//.test(url) && !url.startsWith('/')) return '#';
  return url;
}

콘텐츠 보안 정책 (CSP)

CSP는 어떤 스크립트, 스타일, 이미지 등의 출처를 허용할지 브라우저에 알려 주는 HTTP 응답 헤더입니다. 공격자가 스크립트를 주입하더라도 브라우저는 실행을 거부합니다.

Content-Security-Policy: default-src 'self'; script-src 'self' https://cdn.trusted.com; style-src 'self' 'unsafe-inline'; img-src 'self' data: https:

Nonce를 사용하는 엄격한 CSP

제어할 수 있는 인라인 스크립트에는 요청마다 nonce를 사용하세요. 공격자가 주입한 스크립트에는 일치하는 nonce가 없으므로 실행되지 않습니다.

// Server generates a random nonce per request:
const nonce = crypto.randomBytes(16).toString('base64');
res.setHeader('Content-Security-Policy', `script-src 'nonce-${nonce}' 'strict-dynamic'`);

// Inject into the HTML:
<script nonce="abc123">/* trusted inline code */</script>

HttpOnly + 보안 쿠키

세션 쿠키에 HttpOnly를 설정하면 JavaScript가 쿠키를 읽을 수 없습니다. XSS가 발생하더라도 공격자가 세션 토큰을 가져갈 수 없습니다.

Set-Cookie: session=abc; HttpOnly; Secure; SameSite=Strict

하위 리소스 무결성 (SRI)

CDN을 통해 서드파티 스크립트를 불러올 때는 SRI를 사용하여 콘텐츠가 해시와 일치하는지 확인하십시오. CDN이 침해되더라도 해시 검사를 통과하지 않고는 악성 스크립트를 제공할 수 없습니다.

<script
  src="https://cdn.example.com/lib.js"
  integrity="sha384-oqVuAfXRKap7fdgcCY5uykM6+R9GqQ8K/uxy9rx7HNQlGYl1kPzQho1wx4JwY8wC"
  crossorigin="anonymous"
></script>

Trusted Types(실험적)

Trusted Types는 (Chromium 기반) 브라우저 기능으로, 위험한 싱크(innerHTML)에 Trusted Type 객체를 전달하도록 강제합니다. 따라서 문자열을 아예 삽입할 수 없게 됩니다.

XSS 테스트

다시 렌더링되는 모든 텍스트 입력에 <img src=x onerror=alert(1)>를 삽입해 보십시오. 경고 창이 표시되면 XSS 취약점이 있는 것입니다. 자동 검사를 위해 OWASP ZAP과 같은 도구를 사용하십시오.

빠른 확인

React의 {userInput}은 기본적으로 안전한데 dangerouslySetInnerHTML은 그렇지 않은 이유는 무엇입니까?

복습: XSS 방지

기본값으로 텍스트 렌더링을 사용하십시오(React의 {x}, Vue의 {{ x }}는 안전합니다). HTML을 렌더링할 때는 DOMPurify로 정제하십시오. URL 프로토콜은 허용 목록으로 제한하십시오. CSP 헤더(논스 또는 'strict-dynamic' 사용)는 삽입된 스크립트를 차단합니다. HttpOnly 쿠키는 JS를 통한 탈취를 방지합니다. CDN 스크립트에는 SRI 해시를 사용하십시오. 대표적인 페이로드로 입력을 테스트하십시오.

자주 묻는 질문

“XSS 방지: 출력 인코딩과 CSP” 강의는 무료인가요?

네 — “XSS 방지: 출력 인코딩과 CSP” 전체 내용을 이 웹사이트에서 무료로 읽을 수 있습니다. 인터랙티브하게 실습하려면(내장 코드 에디터와 24/7 AI 튜터), CoddyKit PRO로 업그레이드하면 Frontend Academy 강의 전체를 잠금 해제할 수 있습니다. Frontend Academy 강의에는 총 4개의 강의가 포함되어 있습니다.

“XSS 방지: 출력 인코딩과 CSP”에서 뭘 배우나요?

반사형·저장형·DOM 기반 XSS를 이해하고, 사용자가 제어하는 출력을 이스케이프하며, 신뢰할 수 없는 데이터에는 innerHTML을 사용하지 않고, Content Security Policy 헤더를 추가합니다. 브라우저에서 직접 실행하는 실습 코드로 Frontend Academy을(를) 배우며, 24/7 AI 튜터가 강의를 진행하면서 질문에 답변해줍니다.

Frontend Academy을(를) 시작하는 데 경험이 필요한가요?

사전 경험은 필요하지 않습니다. CoddyKit의 Frontend Academy은(는) 초급자부터 고급 학습자까지를 위해 구성되어 있으므로, 여기서 시작하거나 처음부터 시작할 수 있으며 자신의 속도대로 진행할 수 있습니다. 이것은 4개 중 1번째 강의입니다.

“XSS 방지: 출력 인코딩과 CSP” 강의는 얼마나 걸리나요?

대부분의 CoddyKit 강의는 약 5~10분이 소요됩니다. 각 강의는 간결하고 인터랙티브하여 꾸준한 진행이 가능하며, 웹과 앱에서 중단한 부분부터 바로 시작할 수 있습니다.

이 Frontend Academy 강의에서 코드를 작성하고 실행할 수 있나요?

네. 모든 Frontend Academy 강의에는 내장 코드 에디터가 포함되어 있으므로, 브라우저에서 바로 실제 코드를 작성하고 실행한 후 즉시 AI 피드백을 받을 수 있습니다 — 로컬 설정이 필요 없습니다.

이 강의의 모든 강의

← Frontend Academy(으)로 돌아가기