OWASP Top 10 2025 — AI 시대 웹 취약점 10선

// ━━━ A01 방어: 소유권 체크 ━━━
app.get("/api/posts/:id/edit", async (req, res) => {
  const post = await db.posts.find(req.params.id);
  if (!post) return res.sendStatus(404);
  if (post.authorId !== req.user.id) return res.sendStatus(403);  // ← 인가
  // 편집 로직
});

// ━━━ A03 방어: Prepared Statement / ORM ━━━
// ❌ SQL Injection
const user = await db.query(`SELECT * FROM users WHERE email='${email}'`);
// email = "' OR 1=1--"  →  전체 유저 노출

// ✅ 매개변수 바인딩
const user = await db.query("SELECT * FROM users WHERE email = $1", [email]);

// ━━━ A03 방어: Shell 명령 인젝션 ━━━
// ❌ exec("convert " + filename + " out.png")  → 공백·; 들어오면 임의 명령
// ✅ execFile("convert", [filename, "out.png"])  → 인자 배열로

// ━━━ A05 방어: CSP 헤더 (XSS 2차 방어선) ━━━
app.use((req, res, next) => {
  res.setHeader("Content-Security-Policy",
    "default-src 'self'; script-src 'self'; object-src 'none'");
  res.setHeader("X-Content-Type-Options", "nosniff");
  res.setHeader("X-Frame-Options", "DENY");
  res.setHeader("Strict-Transport-Security", "max-age=31536000; includeSubDomains");
  next();
});

// ━━━ A07 방어: 로그인 Rate Limit ━━━
import rateLimit from "express-rate-limit";
app.use("/api/login", rateLimit({
  windowMs: 15 * 60_000,   // 15분
  max: 5,                   // IP당 5회
  message: "Too many attempts",
}));

// ━━━ A10 방어: SSRF ━━━
// 사용자가 입력한 URL을 서버가 fetch할 때
const allowed = ["https://images.jit.co.kr", "https://cdn.jit.co.kr"];
const parsed = new URL(userUrl);
if (!allowed.includes(parsed.origin)) throw new Error("blocked");
// 추가: AWS 메타데이터(169.254.169.254) 차단, 사설 IP 차단