로그아웃시 post를 쓰는이유
621
15 asked
get대신 post를 쓰는이유가 다음과 같다는것을 알게됐습니다.
CSRF공격에 GET이 취약하기때문
prefetch라는 기술때문에 강제 로그아웃이 될수있다. prefetch란 사용자가 클릭할 가능성이 있는 링크를 가정하여 미리 가져와 페이지 로딩 시간을 줄이는 기술이다. 근데 만약에 로그아웃에 대해서도 적용이된다면 강제 로그아웃이 될수있다.
왜 get요청은 csrf공격에 취약한가요?
prefetch는 post요청에 대해서는 처리하지않나요?
Answer 1
0
안녕하세요, jjc5524 님! 공식 서포터즈 codesweaver 입니다.
1. CSRF공격은 GET, POST 상관없이 가능합니다. 대체로 GET은 데이터를 조회하는 기능이며 민감한 처리를 담당하지는 않기에(등록, 수정, 삭제 등) 보안 관리에 허술할 가능성은 있습니다.
2 prefetch는 브라우저마다 구현이 다를 수 있으나, MDN 정의를 보면, A 태그도 경우에 따라 prefetch 대상이 될 수 있다고 언급하고 있습니다. 만약 로그아웃을 get 방식으로 구현한다면 원치 않는 로그아웃이 발생할 수 있습니다.
또, prefetch 대상은 대체로 <link>로 정의한 부분 혹은 HTTP 헤더에 정의한 링크를 사용한다고 설명하고 있네요.
https://developer.mozilla.org/en-US/docs/Web/HTTP/Link_prefetching_FAQ
감사합니다.
이미지 업로드와 db 트랜잭션 묶는법
0
41
1
Could not resolve org.springframework.boot:spring-boot-starter-validation:2.4.4
0
50
2
MessageSourceTest 코드
0
46
1
인터셉터 에러 설정
0
48
1
resolveArgument()메서드 질문
0
55
1
43강 검증1 에서 실패 로직 관련 질문있습니다.
0
53
2
타임리프 3.X 버전 rendering, serializer 에러 해결 방법
2
132
3
스프링 빈에 등록이 안되는거 같은데 어떻게 하면 좋을까요?ㅠㅠ
0
87
3
pdf 오타 문의
0
56
1
ItemUpdateForm 검증 관련 질문입니다.
0
47
1
22page 링크 주소 변경
0
58
2
특정 데이터와 파일을 함께 저장 시, 테이블 구조 질문
0
52
1
섹션3번 수업에 대한 질문입니다.
0
79
2
@Autowired 보다 더 좋은 방법이 어떤 걸까요?
0
84
2
타입컨버터 가 람다랑 비슷해 보이는데 저의 생각이 맞는지?.
0
64
1
자바스크립트 인라인에서 객체 직렬화 시 오류가 납니다
0
141
3
스프링부트 - 오류페이지2 에서 500.html 에서 쓰인 객체 질문
0
63
1
톰캣 에러 페이지가 안보입니다.
0
100
2
apiEceptionController에서 센드 에러 호출하면 안되는지?
0
80
1
세션 타임아웃시 쿠키 삭제 방법이 없나요?
0
118
2
ApiExceptionController 질문드립니다.
0
62
1
셀렉박스 챕터에서 option value에 ==배송 방식 선택== 이것을 넣은 이유가 궁금함, 이렇게 구상해도 되는지?
0
64
1
MemberRepository 필드의 fianl 선언 유무
0
84
2
혹시 index.html 에서는 fragment 사용이 안되는건가요
0
57
1