XSS(크로스 사이트 스크립팅) 취약점을 해결하는 방법 중 하나는 사용자로부터 입력받은 데이터를 적절하게 필터링하고, 이스케이프 처리하는 것입니다. 사용자가 입력한 데이터를 그대로 웹 페이지에 반영할 경우 악의적인 스크립트가 실행될 수 있기 때문입니다.
아래는 간단한 예시로, 사용자 입력을 필터링하고 이스케이프 처리하는 방법을 보여주는 코드입니다. 이 예시는 서버 사이드(예: PHP)에서 처리하는 경우를 가정합니다. 클라이언트 사이드의 입력 처리만으로는 충분하지 않을 수 있으니, 서버 사이드에서도 반드시 검증하고 처리해야 합니다.
PHP 예시
functionescapeInput($data) {
$data = trim($data); // 공백 제거$data = stripslashes($data); // 슬래시 제거$data = htmlspecialchars($data, ENT_QUOTES, 'UTF-8'); // HTML 특수 문자를 이스케이프 처리return$data;
}
// 사용자 입력 처리 예$userInput = "";
$safeInput = escapeInput($userInput);
echo$safeInput; // "" 대신 <script>alert('xss');</script> 출력
자바스크립트(Javascript) 예시
클라이언트 사이드에서 사용자 입력을 DOM에 직접 삽입하는 경우, innerText나 textContent 속성을 사용하여 XSS 취약점을 예방할 수 있습니다. 이 방법은 입력값을 HTML로 해석하지 않고, 단순한 텍스트로 취급하여 삽입합니다.
// 잘못된 방법: innerHTML을 사용하여 사용자 입력을 DOM에 삽입document.getElementById("someElement").innerHTML = userInput;
// 올바른 방법: innerText나 textContent를 사용하여 사용자 입력을 DOM에 삽입document.getElementById("someElement").innerText = userInput;
이 방법 외에도 콘텐츠 보안 정책(Content Security Policy, CSP)을 활용하여 스크립트 실행을 제한하는 것도 XSS 공격을 방지하는 데 도움이 될 수 있습니다. CSP는 웹 서버에서 HTTP 헤더를 설정하여, 페이지에서 실행될 수 있는 스크립트의 출처를 제한합니다.
(비밀상점)
대용량 일회용 전자담배 비밀특가!
(7593)
