사용자 프로필 수정 API가 요청 JSON의 `isAdmin` 필드까지 자동 바인딩한다. 일반 사용자의 권한 상승을 막을 조치는?
정답 2번
공격자는 화면과 무관하게 요청 JSON을 직접 구성할 수 있다. 일반 프로필 수정에서는 이름·소개 등 허용된 속성만 DTO에 매핑하고 isAdmin 같은 권한 필드는 서버의 별도 인가 절차로 관리해야 한다. 필드를 숨기거나 정상 클라이언트에서 제거하는 것은 서버 보호가 아니다. true가 불리언이라는 검사는 값의 형식만 확인할 뿐 그 사용자가 관리자 권한을 바꿀 수 있는지 판단하지 않는다.
콘텐츠 정보
출제범위 기반 실전 연습을 위해 정처LAB이 독립 제작했습니다. 표시 연도는 학습 범위의 맥락이며 특정 시행 회차의 출제문항이나 복원 원문을 뜻하지 않습니다.
- 자료 유형
- 정처LAB 자체 제작
- 검수 상태
- 내용 검수 완료
- 해설 작성·검수
- 정처LAB 편집 기준
- 최종 검수
- 2026-09-05