XSS 필터 치환 문제

Question

안녕하세요XSS 필터로 인해 치환된 데이터의 사용에 대해 문의 드립니다.대부분 웹 개발을 하시다보면 XSS필터로 인해 ', ", <, > 등을 서버로 입력받을 때 ', ", <, > 로 치환되는 경험을 하셨을 겁니다.보통 서버에서 치환된 데이터를 그대로 DB로 저장하시는지 ', ", <, >을 다시 ', ", <, > 로 변경해서 저장하시는지 궁금합니다.', ", <, > 로 그대로 저장할 경우 해당 영문 검색을 할 경우 (ex. apos) 같이 검색되는 문제도 있고 수정화면(input, textarea 등) 에서도 일일이 치환해줘야 하는것 같네요.이미 ', ", <, > 데이터가 저장되어 있을 경우 검색에서 제외시키거나 중간에 인터셉터나 필터 등을 통해서 한번에 치환할 수 있는 방법이 없을까요?

우엥 · Answer

제가 주니어개발자라서 제 의견이 적절치 않은 부분이 많겠지만 이런 고민을 좋아해서 같이 고민해봤습니다!1.애초에 특수문자로 복원해서 저장한다.2.그대로 저장하고 뷰에 뿌릴때 다시 특수문자로 복원한다.고민이중이신 두가지 방법 모두 치환하는 비용이 발생하는데, 1번은 저장할때 한번만 치환하면 된다지만 2번은 데이터를 읽을때 마다 매번 치환을 다시 해야하니까 1번이 유리하지 않을까요?말씀하신것 처럼 검색시에 의도하지 않은 결과가 도출되는 부분을 고려했을때도 1번쪽이 유리한것 같구요다만 해당 비용은 매우 소소할텐데 비해서 해당 데이터의 용도나 역할에 따라 추후에 다른 문제가 생길 경우도 배제할 순 없을것 같아서 그런쪽으로 고민할 부분이 더 있을것 같습니다

Unknown_ · Answer

검색 할 때도 XSS 및 sql injection 위험 때문에 다 바꿔서 받지 않으시나요?전 화면에 뿌려줄 때 외에는 다 치환한 값으로 처리하고 있습니다. 에디터를 쓰지 않는 이상은요.검색 할 때도 치환된 값으로 검색하기에, 크게 문제는 없었습니다.

캐티 · Answer

데이터가 더 많이 저장되겠지만 애초에 변환하여서 저장하여야 불러서 사용 하는데 cpu 파워를 적게 사용할 수 있겠쩌. 쓰로틀이 걸리면 서버가 터지빈다. 캐싱을 할 수도 있곘지만 이럼 추가적인 저장공간이 필요하겟쩌.

XSS 필터 치환 문제

3개의 답변

Q&A 목록