multipart/form-data데이터의 xss처리 방법에대해 질문있습니다.

Question

리액트와 스프링부트로 웹 페이지 개발을 진행 중입니다.게시판 형태의 화면(제목, 게시글 내용, 첨부파일)이 있을때 axios를 통해 Content-Type을 multipart/form-data로 서버에 전송합니다.이때 form-data에는 첨부파일과 게시글의 제목과 내용등이 함께 전송됩니다. 서버에서는 해당 데이터를 받고 filter에서 xss처리를 진행하고자 합니다.구글을 통해 filter에서 getInputstream으로 데이터를 받아 처리하는 방법을 사용했으나 form-data로 들어온 게시글의 내용과 제목(일반적인 문자열 데이터)는 정상적으로 처리되나 함께 들어온 첨부파일의 경우 xss처리를 위해 문자열로 변경하는 과정에서 첨부파일이 손상되어 원복이 안되는 현상이 있는것 같습니다.스프링부트에서 xss처리를 위해 multipart/form-data으로 들어오는 데이터를 컨트롤 하는 방법이 있을까요..

Clickin · Answer

첨부파일 내용을 xss 처리하는건 들어본 적이 없습니다.첨부파일은 xss 제외 처리하고 실행이 불가하도록 제한하는 게 일반적이라고 봅니다.

kenu · Answer

https://developer111.tistory.com/40

캐티 · Answer

text/html 첨부파일을 넣었을때 xss 공격 가능성이 있어서 물음을 올린 것이지 않나요.웹 서버 경로에 첨부파일을 넣는 경우에 출력하는 이름과 content-type: text/html 구조를 변경하지 않는 경우에 xss가 성공할 가능성이 현저하게 높아요.일반적으로 내부 경로는 다운로드로 처리하여 예방하는데, 이것만으로 부족하고 content-type: application/octect-stream 구조로 변경하여야하고, 가장 좋은 방법은 이름과 정적 경로 접근을 차단하는 것이어요.이럼에도 첨부파일을 미리보기로 제공하는 경우에 내용 자체에 xss 점검을 하여야 할 것이어요.일반적으로 multipart/form-data를 읽어서 스트림으로 처리하는 것은 가능한데, 이 과정을 처리하면서 무언가 잘못 하였을 것이어요.

multipart/form-data데이터의 xss처리 방법에대해 질문있습니다.

3개의 답변

Q&A 목록