Spring controller에 엔티티 노출 문제

Question

스프링을 공부하는 학생입니다. 저는 서비스단은 엔티티를 사용하지 않고 dto를 넘겨주는데요 그러다 보니까 서비스에 Member를 넘겨받지 않고 memberId를 넘겨받아서 처리하는중인데요.. 제가 맞게 하고 있는지 잘 모르겠어요.. 뭔가 이상해요 id넘겨주고 서비스에서 한번 더 찾아야한다는게.... member를 넘겨주면 바로 할 수 있는데.. ㅠ 원래 이런식으로 설계 하는지 잘 모르겠습니다.

okky2dokky2 · Accepted Answer

member에 대한 정보가 노출되면 큰 문제입니다.member_id만 알면 member 도메인에서 쉽게 조회할 수 있기에(pk) dto로 member_id만 전달받는게 맞습니다.

Clickin · Answer

설명이 이상한데 프론트 -> 컨트롤러 데이터 전송 시 entity 스펙을 그대로 전송하고 그걸 또 서비스단에서 그대로 쓰면 안되냐는 이야기인가요그럼 개발자 도구 켜서 직접 데이터를 보내면 다른 사람 정보를 마음대로 씹고 뜯고 할 수 있겠네요거기다가 mysql auto_increament 같은 방식으로 id가 유추되는 경우면 무차별 대입 해서 모든 회원의 정보를 빼올 수도 있겠습니다.엔티티를 화면에서 바로 사용하지 말라는 건 이런 이유들 때문이에요. 물론 권한 유저 검증은 필수지만 그것만으로 모든 게 다 방어되진 않으니까요.

Spring controller에 엔티티 노출 문제

2개의 답변

Q&A 목록