다음 코드의 취약점을 막는 수정으로 적절한 것은?
```javascript msg.innerHTML = location.hash.slice(1); ```
정답 3번
location.hash 값은 공격자가 조작할 수 있고 innerHTML은 이를 HTML로 파싱하므로 DOM XSS sink가 된다. 텍스트 표시가 목적이면 textContent를 사용해 마크업으로 해석되지 않게 해야 한다. 제한된 HTML이 꼭 필요하면 신뢰된 정책 기반 sanitizer를 사용해야 하며 CSP·HttpOnly는 취약한 DOM 삽입 코드를 대신 고치지 않는다.
콘텐츠 정보
출제범위 기반 실전 연습을 위해 정처LAB이 독립 제작했습니다. 표시 연도는 학습 범위의 맥락이며 특정 시행 회차의 출제문항이나 복원 원문을 뜻하지 않습니다.
- 자료 유형
- 정처LAB 자체 제작
- 검수 상태
- 내용 검수 완료
- 해설 작성·검수
- 정처LAB 편집 기준
- 최종 검수
- 2026-09-05