웹 보안 HTTP 요청 방식 질문드려요

Question

안녕하세요지금 한 중소기업 솔루션 회사에 재직중입니당솔루션 특성 상금융 기관이나 증권사 쪽 고객사가 많은데요웹 보안 취약점 관련해서 한 업체인지는 모르겠는데,이전에 모든 Method를 POST로만 제한해야 한다는 점검항목이 나왔다고 하더라구요그래서 지금 Form POST전송으로 페이지 이동을 하는데뒤로가기 할 때 POST로 재요청을 하게되서 밑에 페이지가 나오네요..filter나 JSP 페이지 자체에 Cache-Control 설정을 해도 동일한 현상이 나타납니다..참고로 스프링 프레임워크 안씁니다질문모든 Method를 POST로만 제한하는게 현실성 있는 점검항목인가요?GET방식과 POST방식의 차이가 눈에 안보이고 인코딩된다의 수준인데 보안성이 그렇게까지 차이가 나나요?또 이런 경험 있으신 분 있나요?뒤로가기 시의 대안방법 좀 알려주세요..

마사키군 · Accepted Answer

1. 윗분께서 말씀하신 것처럼, 모든 WebAPI를 POST로 제한하라는 요청은 불가능한 부분은 아니라고 생각합니다. 하지만 페이지 전체를 POST로 요청해아 한다고 하면, 뭐 불가능하지는 않겠지만 '거의' 불가능한 요청사항이라는 생각이 드네요.2. GET과 POST의 보안상 차이는 그렇게 크지 않습니다. 하지만 이걸로 상층부를 설득시키기는 불가능에 가깝죠;

부부개발단(TOTO) · Answer

그럼 북마크 한 후에 여는건 다 GET방식일텐데 그럼 페이지가 안열릴텐데요? 이건 링크를 이야기 하는게 아니라 ajax호출할때 모두 POST로만 보내고, FORM의 method가 post로 해야하는거 아닌가요?

basscraft · Answer

지금 까지 여러번 웹보안 취약점 점검을 받아 봤지만서비스의 모든 메서드를 POST로 바꾸라는 요구 사항은 처음 들어 봅니다.아마도 전달 과정에서 와전 되었거나 제대로 된 웹보안 취약점 점검 업체가 아닐 것 같습니다.

웹 보안 HTTP 요청 방식 질문드려요

3개의 답변

#get 목록