서버의 권한과 입력 경계를 먼저 봅니다

사용자가 인증됐더라도 개별 객체와 작업의 권한을 서버에서 확인해야 합니다. 데이터베이스 질의는 명령 구조와 값을 분리하고 외부 주소를 가져오는 기능에는 목적지와 연결 권한을 제한합니다.

SQL 삽입과 SSRF는 서로 다른 처리 경계를 악용합니다. 단순 특수문자 차단이나 웹 방화벽만으로 원인이 고쳐졌다고 판단하지 않습니다.

출력 문맥과 자원 실행 정책을 구분합니다

XSS 방어는 HTML과 속성 및 URL 등의 문맥에 맞는 출력 처리와 안전한 DOM 사용이 중요합니다. 필요한 HTML 허용에는 검증된 정제기를 사용하고 일반 입력을 실행 코드로 조합하지 않습니다.

CSP는 추가 실행 제한 수단입니다. nonce와 허용 출처 및 보고 전용 모드의 차이를 확인하고 실제 차단과 정상 자원 로딩을 각각 시험해야 합니다.

세션의 발급, 갱신과 만료 및 로그아웃을 확인합니다. Secure, HttpOnly와 SameSite는 서로 다른 보호 조건이므로 필요한 속성을 함께 적용하고 실제 사용 흐름을 검증합니다.

CSRF 방어는 인증 정보가 붙었다는 사실을 넘어 요청 의도를 검증하는 문제입니다. 토큰과 출처 조건을 확인하며 CORS를 인증이나 CSRF 방어 전체와 같은 것으로 취급하지 않습니다.

승인된 시험 환경에서 일반 사용자와 관리자의 기능을 구분하고 허용되지 않은 객체 접근 및 세션 만료를 확인합니다. 프레임 포함, 외부 자원과 파일 업로드 등 실제 기능의 영향도 검증합니다.

검사 범위와 도구 경고의 검증 결과 및 미확인 경로를 남깁니다. 운영 비밀값과 고객 자료는 시험 증거에 포함하지 않으며 검사 통과를 모든 웹 공격의 부재로 표현하지 않습니다.