시큐어코딩 가이드 e.printStackTrace() 잘 아시는 분 질문 드립니다.

Question

시큐어코딩 가이드라인에 따르면 e.printStackTrace()를 사용하지 말고 System.out.println(&#34;예외상황 발생&#34;); 이런식으로 코드를 작성하라고 하네요;; 로그는 서버에 남는데 왜 사용자 보안 취약점이라는지. 잘 이해가 안가지만.. 암튼 공공기관이기에 꼭 해결을 해야하는데. 혹시 시큐어코딩 취약점 점검 진행해보신 분 가이드 부탁드립니다.

존커피 · Accepted Answer

로그파일을 통하여 힌트를 줄수 있기때문에 e.printStackTrace(); 를 사용하시는 경우 보안지적사항입니다. 표준출력, 표준에러는 설정에 의해 다른 stream으로 변경될 수 있고, trace 정보에 의해 시스템에 대한 정보를 제공할 수 있기 때문이라고 합니다. try { ... } catch (Exception e) { //LOGGER.debug(e.printStackTrace()); //LOGGER.debug(&#34;연계파일시검증오류&#34;); }개발시 사용하였더라도 운영서버 반영시에는 위처럼 오류내역을 직접 기술하도록 하고 있습니다.출처1) http://open.egovframe.org/cop/bbs/selectBoardArticle.do?bbsId&#61;BBSMSTR_000000000013&nttId&#61;14643, 출처2) http://open.egovframe.kr/nforges/qna/qna/8929/.do

ssamzie101 · Answer

2차 방어라고 생각하시면 될것 같습니다.

fender · Answer

개인적으로 정말 무식한 가이드라고 생각합니다만... 어째겠습니까; 규정이 있으면 따라야겠지요.

스페셜게스트 · Answer

흠.. ssamzie님이 말한것처럼 표준 가이드라인에는 System.out.println으로 명시적인에러 고정문구를 때려박으라고 되어있더군요.. 헌데 너무 무식한 방법인것같아다른 방법이 없나 해서 물어봤네요 ㅎㅎ, 일단 그렇게 처리해야겠네요;;; ㄷㄷㄷ3분다 감사합니다.

시큐어코딩 가이드 e.printStackTrace() 잘 아시는 분 질문 드립니다.

4개의 답변

Q&A 목록