사용자 입력을 HTML 본문, 속성값, JavaScript 문자열에 각각 출력한다. XSS 대응 원칙으로 옳은 것은?

1. 1

   입력을 Base64로 저장하면 출력 시 검증이 필요 없다.

   오답 이유Base64는 인코딩일 뿐 디코딩 후 위험한 문맥에 넣으면 실행될 수 있다.
2. 2

   CSP를 적용하면 출력 인코딩은 생략한다.

   오답 이유CSP 설정 누락이나 허용 정책 우회가 있어 방어 계층을 함께 유지해야 한다.
3. 3

   출력 위치의 문법에 맞는 문맥별 인코딩을 적용하고 위험한 DOM 삽입 함수를 피한다.

   정답 근거해석기가 다른 만큼 해당 문맥에서 코드로 변하지 않도록 처리해야 한다.
4. 4

   모든 위치에서 작은따옴표만 제거한다.

   오답 이유따옴표 하나만 제거해도 태그·이벤트 속성·다른 구분자로 우회할 수 있다.