빌더(토마토, 넥사크로)를 이용한 개발환경에서 템플릿 엔진(JSTL등)사용 문의

Question

요약빌더(exbuilder, 넥사크로, 웹스퀘어)를 사용한 웹개발환경에서 템플릿엔진(JSTL등) 사용가능 여부가능하다면 사용방법(제조사 공식지원? 아니면 옆차기?)불가능 하다면 동적인 페이지의 생성 방법( ex. 권한별로 꼭 필요한 코드만 생성 )웹 프로그램이란 기본적으로 클라이언트의 요청에 대하여 동적으로 페이지(html/js)를 생성하여브라우저로 전달하므로써 상황(또는 권한)에 맞는 기능/화면에 대한 내용을클라이언트 브라우저에 전달하여 수행하는것인데...이러한 일을 근본적으로 수행하는게 JSP, ASP, PHP 등 웹프로그래밍 언어이고조금더 쉽게 서버측 코드를 html에 쉽게 삽입하기(?)위하여 나온기술이 JSTL, Thymeleaf과 같은템플릿 엔진인데...exbuiler(토마토), 넥사크로, 웹스퀘어 등의 빌더기반의 UI 프레임워크를 사용할 경우이러한 템플릿 엔진을 사용할 수 있나요?현재 토마토 exbuilder &#43; Spring Framework 기반 환경에서 개발을 시작하고 있는데...파악한 바로는 JSTL 또는 Thymeleaf와 같은 뷰 템플릿 엔진을 사용할 수 없고모든 코드들이 exbuilder에서 생성한 javascript 파일 하나로 동작하네요.이 경우 exbuilder가 컴파일한 js파일 안에 모든 권한별 제어 코드들이 있고 이게 고스란이브라우저로 넘어가는데... 개발자도구에서 모두 볼 수 있어 보안상 매우 취약해 보입니다.결과적으로 템플릿엔진 사용유무와 상관없이 꼭 필요한 코드만 클라이언트로 전달(동적인 페이지생성)되어야보안상 문제가 없을것 같은데권한별로 UI를 각각 개발하는것은 유지보수 차원에서 너무 어려울것 같고...넥사, 토마토, 웹스퀘어 프로젝트 경험해보신분 계시면 조언 부탁드립니다.감사합니다.

HJOW · Answer

넥사는 해봤는데 어짜피 자바스크립트로 만들어져서 jsp에도 사용할 수가 있었죠.근데권한별 제어코드를 js에서 처리할 수야 있지만어짜피 권한별로 다른 &#34;동작&#34;은 서버에서 다시 검증하여 처리해야 하죠.클라이언트에만 의존하게 코드를 짜놓고 보안상 문제가 있다고 한다면해결방법은 당연히 &#34;서버에서도 검증하세요&#34; 밖에 안나옵니다.어짜피 보안상 중요한 액션을 취한다면당연히 서버에 요청을 보낼 수밖에 없잖습니까. DB에도 기록이 되야 하니까...그러면 당연히 서버에서 튕겨낼 기회가 반드시 있습니다.그리고 생각이 더 나는 게,사용자 로그인여부와 권한쪽은jsp / 서블릿에서 제공하는 세션 (혹은 JWT토큰), 스프링 시큐리티 기능을 적극 활용하시는 게 좋습니다.툴에서 제공하는 전역변수에다 담아놓는걸로 의존하면 안됩니다.물론 화면출력을 위해 어느정도 담아둘 수는 있습니다만 서버에서도 갖고 있어야 하고 매 요청 때마다 서버에서 검증을 해야 합니다.

빌더(토마토, 넥사크로)를 이용한 개발환경에서 템플릿 엔진(JSTL등)사용 문의

1개의 답변

Q&A 목록