'hidden에 값을 넣는것은 바람직한가?'에 대한 궁금증

Question

서론 : 안녕하세요. 웹에 관심이 많아서 공부를 하고있는 대학생입니다. 스프링을 공부해서, 한번 되짚어 보자는 의미로 간단한 CRUD 게시판 사이트를 만들어보고있는데, 궁금한게 생겨도 주변에 물어볼 사람이 없어서 선배님들에게 질문을 드리고싶어서 게시물을 작성합니다. 본론 : 지금 궁금한것은 회원가입에 관한 내용입니다. 회원가입에서, 다음과 같이 했습니다.(이것은 구현 완료)1. ajax와 RestController로 중복확인 버튼을 누르면 검사를 합니다.2. 값을 true나 false를 문자열로 만들어서 반환하면 JS로 에 true나 false로 세팅을 합니다.3. 아이디를 적어 넣는 input태그에 onkeydown으로 입력시 무조건 false로 바꿉니다.4. 만약 hidden에 들어있는 중복 확인값이 true라면 통과, false라면 validator에서 걸러서 로 jsp페이지에서 중복확인을 하라고 알려줌. ==> hidden에 값을 넣으면 보이지는 않더라도 결국 f12를 누르고 태그를 고치면 값이 보이고 변경도 될 수 있어서, 괜찮은가에 대한 궁금증이 생겼습니다. 제가 알고싶은건 다음과 같습니다. (만약 hidden값을 고치고 보냈을 때에 대한 오류 대처를 해놓았습니다.)1. 이 방법이 바람직한가?2. 바람직하다면, 제가 고민하는 부분은 쓸데없는 고민인가요?3. 바람직하지 않다면, 어떠한 방법이 있을까? 맺음말 : 코로나 때문에 모두 힘드시겠지만, 연말 건강하게 잘 보내시고 내년에는 더 좋은 일만 있기를 바라겠습니다. 다들 바쁘실텐데, 답변을 달아주시는 선배님들 모두 감사합니다. ^^

DizY · Answer

음 이미 서버에선 위변조에 대한 대응이 되어있는 상태라면 히든 폼에 어떤 값을 넣었든 큰 문제가 안될 것 같습니다.물론 보통 그렇게 하냐? 라고 물어본다면 그렇진 않을 겁니다. 최근엔 JS단에서 상태를 관리하고 폼을 관리하고 진행하는 형태로 많이 하니까요.

yeori · Answer

말씀하신 시나리오의 경우 프론트엔드쪽과 무관하게 백엔드에서 따로 중복체크 로직을 돌립니다매우 드문 확률로 아래와같은 상황이 발생할 수 있습니다1. 두 사람이 동일한 아이디를 입력하고 동시에 중복 체크를 함2. 두 사람 모두 사용 가능한 아이디라는 응답을 받음3. 두 사람이 가입버튼 클릭4. 둘 중 한명만 성공, 다른 한명은 실패또는 악의적인 사용자가 브라우저의 상태 정보를 고쳐서 요청을 보낼 수 있기때문에 서버에서는 프론트엔드쪽에서 아무런 검증도 하지 않는다고 가정하고 코드를 작성합니다프론트엔드에서의 체크는 사용자 편의를 위해 존재합니다기껏 양식을 입력해서 가입을 눌렀는데 자꾸 오류가 나면 사용자는 짜증을 냅니다. 입력 양식에 문제가 있으면 사용자가 인지할 수 있도록 프론트엔드에서 실시간으로 입력값을 검증하고 적절한 메세지로 사용자의 재입력을 유도합니다.이렇게 검증한 결과를 어딘가에 저장해 둬야할테고 hidden 은 전통적인 수단 중 하나입니다전통적으로는 hidden에 상태정보를 묻어뒀었는데 요즘은 ajax 로 데이터를 주고받는 경우가 많다보니 js 전역 변수에 상태를 저장하거나 관리할 상태정보가 많으면 객체 리터럴을 따로 만들기도 합니다(방법은 다양함)하지만 어디에 상태를 저장하더라도 악의적인 사용자가 브라우저에서 상태를 조작할 수 있으므로 전적으로 신뢰해서는 안됩니다

spoon · Answer

yeori님 말씀대로 프론트에서 검증을 했더라도 백엔드에서 재검증을 하면 됩니다잘 설명해주셨네요

오후 · Answer

그래서 마지막 백단 처리부분에서 검증은 꼭필요한부분인거죠. 그리고 사용자 화면에 히든값으로 넣느냐는 해당화면 설계기준으로 봐야하는거죠. - 중복확인 필요없고 - 최종 가입버튼눌렀을때 얼럿등 에러메세지 처리로 보여줌 >> 입력다했는데 ID 수정해야하는 번거러움이있음(보통 ID를 최우선적으로 작성하기에 유저 입장에서 불편성 가중 ) - 버튼 or ID 입력할때마다 체크후 중복여부 알려줌(히든값 true,false 설정) > 사용자입장에서는 사용가능한 ID임을알고 다음입력사항 진행 > f12 눌러서 값을 바꿀정도라면 정상적인접근 유저가아니기에 마지막 백단처리시 검증로직에서 제외 > 정상유저가아니었기에 해당사항에대한 CS또한 할수없음

wangchobo · Answer

제가 바빠서 댓글을 빨리 못달았네요 죄송합니다. 댓글들을 읽어보니 정확히는 아니지만 어느정도는 감이 잡혔습니다. 다들 감사합니다!

'hidden에 값을 넣는것은 바람직한가?'에 대한 궁금증

5개의 답변

#hidden 목록