로그인 쿠키를 사용하는 상태 변경 요청의 CSRF 방어 조합으로 가장 적절한 것은?
정답 3번
브라우저가 로그인 쿠키를 요청에 자동 첨부할 수 있으므로 로그인되어 있다는 사실만으로 사용자가 그 상태 변경을 의도했다고 볼 수 없다. 서버가 세션에 연결된 예측 불가능한 토큰을 검증하면 공격 사이트가 토큰을 모르는 위조 요청을 구분할 수 있다. SameSite는 교차 사이트 쿠키 전송을 제한하는 보조 방어다. POST라는 메서드나 HttpOnly만으로 요청의 정당성을 확인하지는 못한다. 토큰 구현과 요청 출처 검증을 설계할 때도 XSS가 존재하면 방어가 우회될 수 있음을 고려해야 한다.
콘텐츠 정보
출제범위 기반 실전 연습을 위해 정처LAB이 독립 제작했습니다. 표시 연도는 학습 범위의 맥락이며 특정 시행 회차의 출제문항이나 복원 원문을 뜻하지 않습니다.
- 자료 유형
- 정처LAB 자체 제작
- 검수 상태
- 내용 검수 완료
- 해설 작성·검수
- 정처LAB 편집 기준
- 최종 검수
- 2026-09-05