스마트에디터 스크립트 질문입니다.

Question

스마트 에디터에서 html모드에서 스크립트를 이용해서 다양한 기능을 에디터 안에 구현할 수 있는 것으로 알고 있습니다.그런데 DB에 데이터를 저장하는 차원에서 보안적인 이슈가 발생하나요?어느 회사는 스크립트태그 사용이 가능하고 어느 회사는 스크립트 및 스타일 태그 등을 보안상의 이유로 막아 놓았다라고 설명을 들어서...어떤 보안상의 이슈가 있을까요?

최은영 · Accepted Answer

sql-injection 으로 검색하시면 나오는게 보안상의 이슈이구요..무작위 사용자 대상으로 하는곳은 기본적으로 태그는 다 막아야 하는게 맞구요관리자가 사용자를 대상으로 사용되는 곳은 풀어놓는 곳이 있긴 합니다.

오후 · Answer

에디터(text)에 script 입력부분은 sql-injection 보다는 XSS 이슈가 큽니다.

peter_lim · Answer

요즘은 DB를 지원하는 라이브러리들이 내부적으로 치환해서 저장하고 조회해주기도 하지만기본적으로는 script 관련된 코드는 직접적으로 다이렉트로 저장되지 않게 해주는게 맞습니다.sql 인젝션의 경우 요즘은 기본적으로 prepare statement 로 요구되기 때문에 기본 보안은 되어있구요. 웬만하면 에디터 자체에서도 내부적으로 치환해주는 코드가 있을텐데요

스마트에디터 스크립트 질문입니다.

3개의 답변

Q&A 목록