전송방식 get과 post중 굳이 post를 쓰라는데 이유가 보안문제라는데요..

Question

네, 일단 get과 post차이는 알고있습니다. 다만, 일단 메뉴별로(url별로) 스프링 시큐리티의 권한을 주었고 잘 작동합니다. 그런데 게시판조회같은 단순 조회 (데이터조작이없는..) 같은 것도 모두 post로 다시 바꾸라는데, 보안문제라고는 하나.. 이미 페이지별로 권한을 주었는데 또 해야하나 싶어서요 더군다나 데이터조작이아니라 단순 조회인데 크게 문제가있나요? 궁금해서 여쭤봅니다.. 그리고 <a> 태그 href 의 단순 페이지 이동 (구현이 하나도없음)뷰 -> 컨트롤러 -> 뷰 에도 불구하고 post를 사용하라는데 post 사용하니까 오류가 빡;;; 이거 자바스크립트로 따로빼서 post 서브밋 날려야되는데 바디에서 날릴것도없는데 괜한 form하나 만들어서 날려줘야 하는건지.. 다들 어떻게 처리하시나요;;

eastwook · Accepted Answer

이전 통신사 사이트에서 보안코딩을 체크하기 위해 점검 프로그램을 돌리곤 하였습니다.GET 방식의 프로그래밍이 나오면 무조건 민감한(개인정보) 데이터가 GET 파라미터에 담겨있지 않은지 확인하라고 워닝을 내뱉더군요...담당자 분들이 민감 정보 아님을 문서로 소명하기 귀찮다는 이유로 모든 방식을 POST로 바꾸는 작업을 한적이 있습니다.저도 불필요한 컨버팅은 안했으면 좋겠습니다. http method 정리를 잘 해주신분의 블로그가 있어 URL 남기고 갑니다.https://blog.naver.com/cmw1728/221103013275

꾸아앙 · Answer

get을 post로 바꾼다고 보안적인 측면에서 좋아지는건 전혀! 없습니다저는 단순조회는 get씁니다

3차원메트릭스 · Answer

get : 전송 가능 글자수에 제한이 있다, 값을 암호화하지 않기 때문에 보안에 취약하다. post : 데이터양에 제한이 없다, 값을 암호화해서 전송하기 때문에 보안성이 더욱 우수하다. 물론 책에는 get이 빠르고, post가 느리다는 말이 각각의 장단점에 기재되어 있지만, 현대에는 인터넷이 워낙 빨라서 별로 체감되지 않을 것이다. 얼핏보면 post 최고인것 같지만, 필요에 따라 get방식도 당연히 사용된다. 그리고 여기까지는 보통 책이 알려주는 내용이다.[출처] get/post 데이터 전송 방식의 차이|작성자 이거원 여기서는 post가 더 보안이 좋다는 이야기가 있는데 요즘들어 달라진 건가요?

ShipJH · Answer

꾸아앙 , 3차원메트릭스 , eastwook 답변 감사합니다. 보안상문제보다 개인정보성 데이터들을 url에 넣으면 안되기 때문이라고 하네요.파라미터를 암호화해서 넘기기로 바꾸었습니다.

플래니타 · Answer

URL 표시줄에 나타나느냐 여부 정도 차이가 있겠네요.스니핑 같은 것 당하면 별차이 잆겠죠. ㅋ

우르슬라 · Answer

오래된 글이지만 혹시나 검색해서 타오고실분이 있을것 같아서...일단 GET이 취약하다고 말하는 이유는 logging의 이유가 좀 있다고 생각합니다.파라메터 자체가 URL에 노출이 되어있다보니, 보통 access logging 할때는 POST의 body를 저장하지 않지만GET의 parameter는 저장이 되거든요.혹시나 로그파일이 유출되거나... 시나리오를 써보자면 누군가 "로그좀 보게 접속로그 보내주세요" 라고 했는데 그 안에 중요한 정보가 있는 쿼리가 GET에 붙어서 간다면, 노출이 되겠죠?프론트/백 입장에서 보면 GET이나 POST는 둘 다 훔쳐볼 수 있고 위변조 가능하지만, 시스템의 입장에선 로깅이 된다는거 자체가 문제입니다.때문에 노출되면 안되는 값은 GET으로 사용하지 않는것이 맞고, 사용해야한다면 암호화해서 보내는게 맞을것 같습니다.

전송방식 get과 post중 굳이 post를 쓰라는데 이유가 보안문제라는데요..

6개의 답변

Q&A 목록