SameSite=Lax 쿠키만으로 중요한 상태 변경을 GET으로 구현하면 위험한 이유는?
정답 3번
SameSite=Lax 쿠키는 일반적인 교차 사이트 하위 요청에는 제한되지만 사용자가 따라가는 top-level GET 탐색에는 전송될 수 있다. 따라서 계정 삭제·송금처럼 상태를 바꾸는 동작을 GET으로 구현하면 공격자 링크나 리다이렉트가 인증 쿠키와 함께 실행될 수 있다. 상태 변경은 POST 등 비안전 메서드로 만들고 서버가 CSRF 토큰과 Origin 같은 요청 맥락을 검증해야 한다.
콘텐츠 정보
출제범위 기반 실전 연습을 위해 정처LAB이 독립 제작했습니다. 표시 연도는 학습 범위의 맥락이며 특정 시행 회차의 출제문항이나 복원 원문을 뜻하지 않습니다.
- 자료 유형
- 정처LAB 자체 제작
- 검수 상태
- 내용 검수 완료
- 해설 작성·검수
- 정처LAB 편집 기준
- 최종 검수
- 2026-09-05