Spring XSS 방지를 위한 lucy 필터(com.navercorp.lucy) 기능에 관해서

Question

안녕하세요.xss 필터를 네이버에서 제공해주는 lucy-xss-servlet-filter 를 적용하였습니다.기능에 대해서 문의를 드립니다.request 로 들어오는 데이터는 필터링을 통해 치환이 잘됩니다.그런데!, request 로 들어오는 데이터 말고 DB 조회를 해서 화면에 뿌려줄 때에 (response가 되겠죠) 는 필터가 먹지를 않습니다.문의1) DB 값 자체에 scrpit 가 저장되어 있고, modelandview 를 통해 화면에 뿌려줄 때에는 ucy-xss-servlet-filter 로 치환이 되지 않는 것이 맞나요?문의2) 보통 request 가 아닌 response 는 xss 필터를 적용하지 않나요?(개념이 없어서...)감사합니다!

최은영 · Answer

xss 필터의 사용목적이 먼지 왜 사용하는지를 이해하시면 "아!" 하실 겁니다.HTML 태그를 이용한 해킹이나 서버 공격에 이용 당하기 때문에 "브라우저 작동 예외" 처리를 하기 위해서"<" 를 &lt; 등과 같이 변환 해주기 위함입니다.그런데 response에서 애써 변환한 &lt; 를 "<" 로 재 변환해 준다면 "브라우저가 작동"을 해버리거든요.그래서 입력(request)에서만 처리 하는 겁니다.

Spring XSS 방지를 위한 lucy 필터(com.navercorp.lucy) 기능에 관해서

1개의 답변

Q&A 목록