Secure Coding & OWASP Top 10 for Backend · 강의

백엔드를 위한 콘텐츠 보안 정책(CSP)

백엔드 구성이 콘텐츠 보안 정책(CSP)에 영향을 미쳐 XSS와 같은 클라이언트 측 공격을 완화하는 방식을 이해합니다.

백엔드를 위한 콘텐츠 보안 정책(CSP)은(는) CoddyKit의 무료 Secure Coding & OWASP Top 10 for Backend 강의입니다. 이것은 4개 중 3번째 강의입니다. 아래에서 전체 강의를 무료로 읽을 수 있으며, 내장 코드 에디터와 24/7 AI 튜터와 함께 브라우저에서 직접 실습할 수 있습니다. 이 강의는 Secure Coding & OWASP Top 10 for Backend 학습 경로의 일부이며, 진행 상황이 웹과 CoddyKit 앱에 동기화됩니다. Secure Coding & OWASP Top 10 for Backend 강의에는 총 4개의 강의가 포함되어 있습니다.

이 강의의 일부는 아직 번역되지 않았으며 영어로 표시됩니다.

Backend's Role in CSP

Welcome to Content Security Policy (CSP) for Backend! You might think CSP is just for frontend developers, but the backend plays a crucial role.

CSP is a security standard that helps prevent client-side attacks like Cross-Site Scripting (XSS). It does this by telling the browser which resources (scripts, styles, images) it's allowed to load and execute.

The backend is responsible for delivering these rules to the browser.

How Backend Delivers CSP

The backend delivers CSP rules to the browser using a special HTTP response header called Content-Security-Policy. When the browser receives this header, it enforces the rules defined within it.

This means your backend application directly controls the security policy for your frontend. Let's see how a backend might set this header.

Setting the CSP Header

In a backend application, you'd typically add the CSP header to your HTTP response. This example simulates a backend sending a basic CSP header.

The default-src 'self' directive allows resources only from the same origin as the document.

public class BackendCspExample {
  public static void main(String[] args) {
    System.out.println("HTTP/1.1 200 OK");
    System.out.println("Content-Type: text/html");
    System.out.println("Content-Security-Policy: default-src 'self';");
    System.out.println("");
    System.out.println("<!-- Your secure HTML content goes here -->");
  }
}

Key CSP Directives for Backend

As a backend developer, you'll often define directives that control various resource types. Some common ones include:

script-src: Specifies valid sources for JavaScript.
style-src: Specifies valid sources for stylesheets.
img-src: Specifies valid sources for images.
connect-src: Restricts URLs that can be loaded using scripting interfaces (e.g., AJAX, WebSockets).

Each directive can have multiple allowed sources, like 'self', https://example.com, or 'unsafe-inline' (generally to be avoided).

Mitigating Inline Scripts with Nonces

One common XSS attack vector is injecting inline scripts. CSP can block these, but sometimes inline scripts are necessary.

The backend can generate a unique, cryptographically secure nonce (Number Used Once) for each request. This nonce is added to both the CSP header and the allowed inline <script> tags.

Backend Nonce Generation

Here's how a backend can generate a nonce. This nonce is then included in the Content-Security-Policy header (e.g., script-src 'nonce-YOUR_NONCE_HERE') and rendered into the HTML script tag.

The browser will only execute inline scripts that have a matching nonce attribute.

import java.util.Base64;
import java.security.SecureRandom;

public class NonceGenerator {
  public static void main(String[] args) {
    SecureRandom random = new SecureRandom();
    byte[] nonceBytes = new byte[16]; // 16 bytes for a good nonce
    random.nextBytes(nonceBytes);
    String nonce = Base64.getEncoder().encodeToString(nonceBytes);
    System.out.println("Generated Nonce: " + nonce);
    System.out.println("\nUse this in your CSP header:");
    System.out.println("Content-Security-Policy: script-src 'self' 'nonce-" + nonce + "';");
    System.out.println("\nAnd in your HTML:");
    System.out.println("<script nonce=\"" + nonce + "\">alert('Hello!');</script>");
  }
}

CSP Reporting: `report-to`

CSP isn't just about blocking; it's also about visibility. The backend can specify a reporting endpoint using the report-to directive (or older report-uri).

If a browser violates the CSP (e.g., tries to load a script from an unauthorized source), it will send a JSON report to this backend endpoint. Your backend can then log and analyze these reports to detect potential attacks or policy misconfigurations.

Integrating CSP with Frameworks

Modern backend frameworks often provide convenient ways to manage CSP headers without manually concatenating strings.

Spring Security (Java): Has dedicated configurations for HTTP security headers, including CSP.
Helmet (Node.js/Express): A middleware that helps secure Express apps by setting various HTTP headers, including CSP.
Django (Python): Can set CSP headers via middleware or specific libraries.

These tools simplify implementation and help ensure best practices.

CSP for XSS Prevention (Backend View)

From a backend perspective, correctly configured CSP adds a powerful layer of defense against XSS. Even if an attacker manages to inject malicious content into your HTML, CSP can prevent the browser from executing it.

By controlling the Content-Security-Policy header, your backend dictates what content is safe, significantly reducing the impact of client-side vulnerabilities.

CSP Header Challenge

Consider a backend service that needs to allow scripts only from its own domain and from cdn.example.com. Which CSP header directive would best achieve this?

Recap: Backend & CSP

You've learned that Content Security Policy (CSP) is a critical security layer delivered by the backend via the Content-Security-Policy HTTP header.

Backend sets CSP headers to control resource loading.
Directives like script-src define allowed sources.
Nonces are backend-generated tokens to safely allow specific inline scripts.
Backend can collect violation reports via report-to.
Frameworks simplify CSP implementation.

By actively managing CSP, backend developers significantly enhance their application's defense against client-side attacks like XSS.

자주 묻는 질문

“백엔드를 위한 콘텐츠 보안 정책(CSP)” 강의는 무료인가요?

네 — “백엔드를 위한 콘텐츠 보안 정책(CSP)” 전체 내용을 이 웹사이트에서 무료로 읽을 수 있습니다. 인터랙티브하게 실습하려면(내장 코드 에디터와 24/7 AI 튜터), CoddyKit PRO로 업그레이드하면 Secure Coding & OWASP Top 10 for Backend 강의 전체를 잠금 해제할 수 있습니다. Secure Coding & OWASP Top 10 for Backend 강의에는 총 4개의 강의가 포함되어 있습니다.

“백엔드를 위한 콘텐츠 보안 정책(CSP)”에서 뭘 배우나요?

백엔드 구성이 콘텐츠 보안 정책(CSP)에 영향을 미쳐 XSS와 같은 클라이언트 측 공격을 완화하는 방식을 이해합니다. 브라우저에서 직접 실행하는 실습 코드로 Secure Coding & OWASP Top 10 for Backend을(를) 배우며, 24/7 AI 튜터가 강의를 진행하면서 질문에 답변해줍니다.

Secure Coding & OWASP Top 10 for Backend을(를) 시작하는 데 경험이 필요한가요?

사전 경험은 필요하지 않습니다. CoddyKit의 Secure Coding & OWASP Top 10 for Backend은(는) 초급자부터 고급 학습자까지를 위해 구성되어 있으므로, 여기서 시작하거나 처음부터 시작할 수 있으며 자신의 속도대로 진행할 수 있습니다. 이것은 4개 중 3번째 강의입니다.

“백엔드를 위한 콘텐츠 보안 정책(CSP)” 강의는 얼마나 걸리나요?

대부분의 CoddyKit 강의는 약 5~10분이 소요됩니다. 각 강의는 간결하고 인터랙티브하여 꾸준한 진행이 가능하며, 웹과 앱에서 중단한 부분부터 바로 시작할 수 있습니다.

이 Secure Coding & OWASP Top 10 for Backend 강의에서 코드를 작성하고 실행할 수 있나요?

네. 모든 Secure Coding & OWASP Top 10 for Backend 강의에는 내장 코드 에디터가 포함되어 있으므로, 브라우저에서 바로 실제 코드를 작성하고 실행한 후 즉시 AI 피드백을 받을 수 있습니다 — 로컬 설정이 필요 없습니다.

이 강의의 모든 강의

← Secure Coding & OWASP Top 10 for Backend(으)로 돌아가기