스프링 spring get/post 보안 관련 문의 드립니다

Question

스프링 spring 보안 관련 문의 드립니다   토비님 안녕하세요 ~ 여전히 공공기관 프로젝트에 참여 중 인데요 스프링 보안 관련 해서 문의 드립니다 현재 기 구축되어 있는 프로젝트 소스에서 고도화 및 신규 프로그램 개발 중입니다 그러던 중 공공기관 관리자 담당자가 보안 관련 지적을 하셨습니다   -.공무원 담당자 지적사항 내용   https://www.url.com?paramA= 파라미터a &paramB= 파라미터b   => 현재 일반 조회는 스프링 겟 매핑 방식 으로 하고 있습니다 사이트를 사용하는 일반 유저가 브라우저 url 주소창에 파라미터만 수정해가면서 조회 하면 조회 결과가 달라져 나오는데 이거 보안상 문제 있는거 아니냐고 따져 지적을 합니다   기 구축되어 있는 소스에는 request 할때 따로 인코딩/디코딩이 되어 있지 않는데 토비님이 경험해오신 스프링 get/post 보안관련 지적 사항이 나오지 않을려면 저희 프로젝트에서 어떻게 전체 소스(js, java ) 에 어떤 보안 관련 기능을 추가 할 수 있을까요?   참고로 구글도 검색어에 '토비' 라고 치고 개발자 도구 열어서 payload 보면 한글 그대로 넘어가던데 이게 공무원 담당자가 보안 관련 지적 하는게 맞는 건지도 저는 모르겠습니다 한가하실 때 시간 나시면 조언 부탁 드립니다 감사합니다 수고하세요~     김동희 드림   #토비 #토비의스프링 #spring #스프링 #보안 #get #post #parameter #파라미터 #문제

토비 · Answer

파라미터를 쓴다고 그것만으로 보안에 문제가 있다고 단정할 수 없습니다.
중요한 건 파라미터에 해당하는 정보를 조회하는 권한이 현재 유저에게 있는가(비로그인 또는 로그인 사용자 모두)입니다.
파라미터를 암호화 해서 조작을 못하게 하면 쪼금 낫겠지만, 어짜피 암호화가 브라우저 자바스크립트에서 일어나면 그 코드를 가지고 얼마든지 다른 파라미터를 만들어낼 수 있습니다.

중요한 건 조회권한에 대한 체크가 필요한지 여부이지 파라미터를 URL에 노출하는 것 자체가 아닙니다. 구글을 비롯한 수많은 서비스가 url에 조건이 다 담겨져있다고 해주세요. 다만 사용자가 만든 건 아니고 고정된 링크로 들어간 경우, 위에서 얘기한대로 서버에서 조회권한을 체크할 필요가 있는지, 있다면 하고 있는지가 핵심입니다.