[질문] 입력값 받는 서비스의 XSS 질문

[익명(dictate3562)]

XSS 막는 법에 대해서 고민중인데 쥐좆만한 머리로 짜낸 두 가지 방법임

1. JSON 타입을 ObjectMapper 로 받아서 값들 순환하면서 특수문자들을 HTML 문자 엔티티로 바꾸기

2. DTO 에서 특수문자들 막기

XSS 이렇게 막는게 맞는거임? 현업에선 어떤 방법으로 막는지 잘 모르겠음

DTO 에서 특수문자들 막자니 댓글같은거에 특수문자 넣게하고 싶고 머리 아프다

[김대기(waitkim)]

별 수 없음

[익명(dictate3562)]

현업에서도 다를거없이 이렇게 막는구나 제대로 짚었으니 다행인건가

[김대기(waitkim)]

어쩌겠냐.. ㅋㅋ

[백갤러 1(220.94)]

https://cheatsheetseries.owasp.org/cheatsheets/Cross_Site_Scripting_Prevention_Cheat_Sheet.html

[익명(211.235)]

클라이언트에서 1차적으로 정규식이든 반복이든 싸그리 거르고 dto 검증에서 2차 필터링

[익명(dictate3562)]

미천한 머리써서 어림짐작으로 이렇게 막으면 되지않을까 싶었는데 진짜로 그렇게 막는다니 좀 당황스럽다

[익명(119.56)]

생각보다 개발자한테 보안은 한계가있음 시큐리티처럼 그냥 간단하게 처리가끝임 - dc App