로그인 API가 “존재하지 않는 계정”과 “비밀번호 오류”를 구분해 반환한다. 보안상 개선으로 적절한 것은?

정답 4번

계정 존재 여부에 따라 외부 응답이 달라지면 공격자가 유효한 계정 목록을 얻을 수 있다. 화면 문구뿐 아니라 JSON 오류 코드·HTTP 상태·응답 시간의 차이도 단서가 된다. 존재하지 않는 계정을 즉시 반환하고 실제 계정만 비밀번호 검증을 거치면 시간 차이가 남을 수 있으므로 처리 경로도 검토해야 한다. 사용자에게는 인증 실패라는 일관된 응답을 제공하고 상세 원인은 접근이 제한된 서버 로그에 남긴다. 로그에 비밀번호나 토큰 원문까지 저장해서는 안 된다.