WAF는 `%252e%252e%252f`를 허용했지만 백엔드가 URL 디코딩을 두 번 수행해 `../`로 해석했다. 가장 직접적인 개선은?

1. 1

   URL 원문에서 ../만 제거한 뒤 백엔드의 두 번 디코딩은 유지한다.

2. 2

   WAF와 백엔드가 동일한 정규화 결과를 기준으로 검사하고 중복 인코딩을 거부한다.

3. 3

   WAF는 한 번 디코딩한 결과만 검사하고 백엔드의 추가 디코딩 결과는 신뢰한다.

4. 4

   파일 확장자가 허용 목록에 있으면 디코딩 후 디렉터리 이동 여부는 검사하지 않는다.