post전송, xss 방지 질문드립니다.

Question

xss필터링 테스트 해보고있는데요,1차적으로 프런트단에서 특수문자를 방지를 하고 ,function formcheck(){if(isValidNm($('#입력아이디').val()) == false){ $("#에러표시아이디").html('특수문자 사용불가'); return false; } if($("#입력아이디").val() == $("#입력체크아이디").val()){ $("#에러표시아이디").html('사용가능함'); return false; } if($('#입력아이디').val() != ''){ var 변수= $('#입력아이디').val().search(/[~!@#$\%^&*\-_\=+|:;?"<,.>'\`{}/\]/g); if(변수> 0){ $("#에러표시아이디").html('특수문자 사용불가 .'); return false; } }}현재폼은 : 그리고 백엔드 단에서 .replaceAll("<(S|s)(C|c)(R|r)(I|i)(P|p)(T|t)", "<script"); .replaceAll("", ">"); .replaceAll("\r", "
"); .replaceAll("\n", "

"); .replaceAll("alert", ""); .replaceAll("onmouseover", ""); .replaceAll("onpointdown", ""); .replaceAll("onpointover", ""); .replaceAll("\)", ")"); .replaceAll("\(", "(");2차적으로 방지 처리를하였습니다.입력하고 버튼을 클릭했을 경우에는 특수문자 방지처리가되느데요,그런데 개발자 도구를 통해서$(document).ready(function(){ $("#폼아이디"}.submit();); 로 데이터 전송을 하면 필터를 거치지 않고바로 처리가 되더라구요,혹시 따로 방지방법이나 , 버튼을 클릭했을경우에만 form 데이터가 전송하도록설정할수 있는지 궁금합니다.

Clickin · Answer

개발자도구에서 뚫는 걸 100% 막을 수는 없죠form 안쓰고 axios같은 거로 바꿔서 보내도록 구현하고 interceptor를 달면 일괄적용이 되겠지만 이 또한 개발자 도구에서 개별 input의 데이터 다 뽑아다가 form 따로 만들어서 보내면 방도가 없습니다.

rr j · Answer

백엔드에서 검증을 또 해야죠프론트에선 어떤 짓을 하던 뚫립니다.

한안아 · Answer

서버에서 Spring Security 설정해야할걸요

post전송, xss 방지 질문드립니다.

3개의 답변

Q&A 목록