웹 보안과 CORS

개념 설명

브라우저 보안 정책과 교차 출처 리소스 공유를 통한 웹 애플리케이션 보안 체계.

핵심 포인트

• CORS: Simple Request는 preflight 없이, 복잡한 요청은 OPTIONS 요청 먼저 전송
• XSS: 악성 스크립트 삽입 공격, textContent 사용과 입력값 검증으로 방어
• CSRF: 사용자 권한으로 의도하지 않은 요청, CSRF 토큰과 SameSite 쿠키로 방어
• CSP: 콘텐츠 보안 정책으로 스크립트 실행 출처 제한

예시 코드

// CORS preflight 최소화 (Simple Request 유지)
fetch('/api/data', {
  method: 'POST',
  headers: { 'Content-Type': 'application/json' },
  credentials: 'same-origin',
  body: JSON.stringify({ id: 123 })
});