0Pricing
Vue Academy · 강의

Vue에서 XSS 방지

Vue의 자동 이스케이프, v-html의 위험성, 정제를 위한 DOMPurify와 신뢰할 수 있는 타입을 익힙니다.

Vue에서 XSS 방지은(는) CoddyKit의 무료 Vue Academy 강의입니다. 이것은 4개 중 1번째 강의입니다. 아래에서 전체 강의를 무료로 읽을 수 있으며, 내장 코드 에디터와 24/7 AI 튜터와 함께 브라우저에서 직접 실습할 수 있습니다. 이 강의는 Vue Academy 학습 경로의 일부이며, 진행 상황이 웹과 CoddyKit 앱에 동기화됩니다. Vue Academy 강의에는 총 4개의 강의가 포함되어 있습니다.

XSS란 무엇인가

사이트 간 스크립팅(Cross-Site Scripting, XSS)은 악성 스크립트를 페이지에 삽입하여 다른 사용자의 브라우저에서 실행하는 공격입니다. 이 공격으로 쿠키, 토큰 및 데이터를 탈취할 수 있습니다. Vue는 기본적으로 사용자를 보호하지만, 몇 가지 패턴을 사용하면 다시 취약해질 수 있습니다.

Vue는 보간을 자동으로 이스케이프합니다

머스태시 보간 {{ }} 안의 텍스트는 자동으로 HTML 이스케이프됩니다. 태그가 포함된 사용자 문자열도 실행되지 않고 안전한 텍스트로 렌더링됩니다.

<!-- userInput = "<script>alert(1)</script>" -->
<p>{{ userInput }}</p>
<!-- renders the literal text, no script runs -->

속성 바인딩도 안전합니다

v-bind 또는 :attr를 사용한 바인딩도 값을 이스케이프하므로, 삽입된 따옴표가 속성의 경계를 벗어나 핸들러를 삽입할 수 없습니다.

<div :title="userInput">Hover me</div>

v-html의 위험성

v-html은 innerHTML을 직접 설정합니다. 값을 이스케이프하지 않으므로, 스크립트와 이벤트 핸들러를 포함한 모든 마크업이 실행되는 HTML로 렌더링됩니다.

<!-- DANGEROUS with untrusted input -->
<div v-html="userInput"></div>

v-html이 악용되는 방식

스크립트 태그가 없어도 공격자가 만든 HTML은 이벤트 핸들러 속성이나 img onerror 페이로드를 통해 코드를 실행할 수 있습니다.

// attacker-supplied value
const userInput = "<img src=x onerror=stealCookies()>";

규칙: 사용자 입력에 v-html을 사용하지 마십시오

가장 간단한 규칙은 신뢰할 수 없는 콘텐츠를 v-html에 절대 전달하지 않는 것입니다. 출처가 사용자 제어라면 이스케이프되는 일반 보간을 사용하십시오.

HTML을 렌더링해야 하는 경우

서식 있는 HTML이 실제로 필요한 경우도 있습니다. 예를 들어 CMS 본문이나 마크다운 출력이 그렇습니다. 이 경우 바인딩하기 전에 HTML을 정제해야 합니다.

DOMPurify로 정제하기

DOMPurify는 안전한 서식은 유지하면서 위험한 태그와 속성을 제거합니다. 이를 설치하고 v-html을 사용하기 전에 정제하십시오.

npm install dompurify

정제한 후 바인딩하기

계산된 값에서 DOMPurify.sanitize를 통해 값을 처리한 다음 정제된 결과를 바인딩하십시오.

import DOMPurify from "dompurify";
import { computed } from "vue";

const safeHtml = computed(() =>
  DOMPurify.sanitize(props.rawHtml)
);
// template: <div v-html="safeHtml"></div>

허용되는 태그 설정하기

허용 목록을 제한하여 정제 후에도 예상한 태그만 남도록 할 수 있습니다.

DOMPurify.sanitize(html, {
  ALLOWED_TAGS: ["b", "i", "em", "strong", "a", "p"],
  ALLOWED_ATTR: ["href"]
});

신뢰하지 말아야 할 다른 출처

URL도 신뢰하지 마십시오. 바인딩된 링크의 javascript: href는 코드를 실행할 수 있습니다. href를 검증하거나 정제하고, 사용자 데이터로 동적인 <script> 출처를 절대 만들지 마십시오.

// reject dangerous protocols
const safe = /^https?:/.test(url) ? url : "#";

빠른 확인

사용자가 제출한 HTML을 렌더링해야 합니다. 안전한 방법은 무엇입니까?

요약

Vue는 {{ }} 보간과 속성 바인딩을 자동으로 이스케이프하여 대부분의 XSS를 무력화합니다. 위험한 예외는 v-html이며, 이는 raw HTML을 렌더링합니다. 사용자 입력을 직접 전달하지 말고, 서식 있는 HTML이 필요하면 먼저 DOMPurify로 정제하십시오. 또한 사용자가 제공한 URL도 신뢰하지 않아야 합니다.

자주 묻는 질문

“Vue에서 XSS 방지” 강의는 무료인가요?

네 — “Vue에서 XSS 방지” 전체 내용을 이 웹사이트에서 무료로 읽을 수 있습니다. 인터랙티브하게 실습하려면(내장 코드 에디터와 24/7 AI 튜터), CoddyKit PRO로 업그레이드하면 Vue Academy 강의 전체를 잠금 해제할 수 있습니다. Vue Academy 강의에는 총 4개의 강의가 포함되어 있습니다.

“Vue에서 XSS 방지”에서 뭘 배우나요?

Vue의 자동 이스케이프, v-html의 위험성, 정제를 위한 DOMPurify와 신뢰할 수 있는 타입을 익힙니다. 브라우저에서 직접 실행하는 실습 코드로 Vue Academy을(를) 배우며, 24/7 AI 튜터가 강의를 진행하면서 질문에 답변해줍니다.

Vue Academy을(를) 시작하는 데 경험이 필요한가요?

사전 경험은 필요하지 않습니다. CoddyKit의 Vue Academy은(는) 초급자부터 고급 학습자까지를 위해 구성되어 있으므로, 여기서 시작하거나 처음부터 시작할 수 있으며 자신의 속도대로 진행할 수 있습니다. 이것은 4개 중 1번째 강의입니다.

“Vue에서 XSS 방지” 강의는 얼마나 걸리나요?

대부분의 CoddyKit 강의는 약 5~10분이 소요됩니다. 각 강의는 간결하고 인터랙티브하여 꾸준한 진행이 가능하며, 웹과 앱에서 중단한 부분부터 바로 시작할 수 있습니다.

이 Vue Academy 강의에서 코드를 작성하고 실행할 수 있나요?

네. 모든 Vue Academy 강의에는 내장 코드 에디터가 포함되어 있으므로, 브라우저에서 바로 실제 코드를 작성하고 실행한 후 즉시 AI 피드백을 받을 수 있습니다 — 로컬 설정이 필요 없습니다.

이 강의의 모든 강의

  1. Vue에서 XSS 방지
  2. Vue의 콘텐츠 보안 정책(CSP)
  3. Vue SPA의 CSRF 방어
  4. 안전한 인증 패턴
← Vue Academy(으)로 돌아가기