Spring ExceptionHandler 사용 시, getMessage 보안취약점 문제 어떻게 처리하시나요?

Question

안녕하세요.Rest API를 사용하여 프론트와 서버가 통신할 때, 발생하는 Exception들에 대하여 따로 ExceptionHandler를 만들고따로 CustomException을 만들거나 기존에 있는 Exception들을 직접 발생 시킬 때, 각 구간의 Exception의 메시지를 직접 입력해서 쓰는 방식으로 구현하고 있습니다.(물론 제가 만들면서 놓친 부분이 있으면 안되겠지만 놓친부분에서 Handler에 지정해둔 Exception이 발생할 수도 있습니다...)그래서 Exception를 발생시킬 때, 정해진 메시지를 입력하고 ExceptionHandler에서 해당 메시지를 가져와서 RestTemplate으로 status와 메시지를 리턴해주는 방식으로 구현하였는데요.이게 getMessage로 하다보니 개발보안사항에 걸려버리더라구요...그렇다고 getCause().getMessage()로 살짝 우회하려고 하면 Optional로 발생시키는 경우에 Throwable과 cause가 같아서 null이 발생하는 경우 때문에 message를 뿌리기 힘들어지는 경우도 있고요.혹시 저처럼 ExceptionHandler를 따로 만들어서 하시는 경우에 어떻게 해결 하셨는지 궁금합니다.

kkoko · Answer

CustomException에서 Exception의 message 말고 별도 custom message 속성을 추가해서 직접 발생시키는 예외는(CustomException) 메시지를 추가로 생성해뒀던 custom message에 set 하고 이후에 그 custom message를 가져와 리턴하는 방식으로 하고, 직접 발생시키지 않는 Exception들에선 message 값 참조하지않도록 하는건 어떠신가요?

Spring ExceptionHandler 사용 시, getMessage 보안취약점 문제 어떻게 처리하시나요?

1개의 답변

#exceptionhandler 목록