정보처리기사 필기 이론 학습 | 모두의 문제집

사용자 입력을 HTML 인코딩한 뒤 SQL에 문자열로 붙이는 방식은 방어 문맥이 잘못되었다. SQL에는 매개변수화가 필요하다. 반대로 SQL에 안전하게 저장한 게시글도 화면에서 원시 HTML로 해석하면 XSS가 발생할 수 있다.

온라인 조회 기능은 ‘입력 ID의 형식 확인’, ‘현재 사용자의 조회 권한 확인’, ‘값 바인딩으로 질의’, ‘화면 문맥에 맞는 출력’을 각각 수행해야 한다. 하나의 필터가 모든 단계를 대신하지 않는다.

구분	검사 대상	예
구문 검증	자료형·형식·길이·문자 범위	수량은 정수, 전화번호는 허용 형식
의미 검증	값의 범위·필드 관계·업무 규칙	수량은 1 이상, 종료일은 시작일 이후

테이블명·열명·정렬 방향은 보통 값 바인딩의 대상이 아니다. 사용자가 임의 SQL 조각을 보내게 하지 말고 서버에서 정한 허용 목록에 대응시킨다. 예를 들어 최근순을 고정된 작성일 내림차순으로 매핑한다.

시험 직전 요약장