질문입니닷.

다운로드 기능 이용 시 파일명이 안보이는 경우는 없습니다.

파일 다운로드 기능을 처리하는 경우 사용자로부터 어떠한 파일을 받아야 될지 알아야 되기 때문이죠.

난수로 된 경우는 실제 업로드된 파일명을 수 있습니다. 이것을 예측하는 방법은 orginal 파일명과 real 파일명을 요청하는 것으로 판단이 가능합니다.

간혹 파일명을 base64 인코딩해둔 환경이 있긴합니다. base64는 디코딩을 하면되고, 암호화가 되어 있다면 복호화를 할 수 있으면(복호화 가능하면 암호화도 가능) 당연 공격이 가능하긴 합니다. 그러나 , 파일명을 암호화하는 형태는 실 환경에서 찾아보기 드물긴합니다.

왜냐면 리소스 낭비고 효율적이지 못하기 때문입니다. 파일을 다운로드하는 사용자가 많을 경우 하나의 요청마다 일일이 복호화를 한다면 웹 서비스 측면에선 리소스 낭비입니다. 차라리 입력 값 검증 로직을 하는 것이 더 효율적이죠.

보안적으로 보면 암호화가 좋지 않냐라고 생각할 수는 있으나, 웹 서비스는 말 그대로 서비스입니다. 사용자에게 서비스를 제공해주는게 제 1의 목적입니다. 때문에 항상 효율성을 따지기 마련입니다. 보안은 후 순위일 수 밖에 없죠.