API 응답에 요청의 Origin 값을 그대로 반사하고 `Access-Control-Allow-Credentials: true`를 설정했다. 공격 사이트에서 로그인 사용자의 응답을 읽을 수 있는 이유와 개선으로 옳은 것은?
Access-Control-Allow-Origin: 요청 Origin 그대로 반사
Access-Control-Allow-Credentials: true
공격 사이트는 credentials: include로 요청한다.
해당 환경의 SameSite 설정과 브라우저 정책상 세션 쿠키가 실제 요청에 포함된다.
정답 3번
지문에서는 공격 사이트의 요청에 세션 쿠키가 실제로 포함된다. 서버가 그 Origin을 그대로 허용하고 credentials도 승인하면 브라우저는 인증된 응답의 읽기를 허용한다. 서버는 신뢰한 Origin만 정확히 비교해 허용해야 한다. HttpOnly는 쿠키 값의 스크립트 읽기 제한이며, 자격증명 요청에서 허용 Origin을 *로 두는 것은 CORS 규칙에 맞지 않는다.
콘텐츠 정보
출제범위 기반 실전 연습을 위해 정처LAB이 독립 제작했습니다. 표시 연도는 학습 범위의 맥락이며 특정 시행 회차의 출제문항이나 복원 원문을 뜻하지 않습니다.
- 자료 유형
- 정처LAB 자체 제작
- 검수 상태
- 내용 검수 완료
- 해설 작성·검수
- 정처LAB 편집 기준
- 최종 검수
- 2026-09-04