Go 보안 주니어 기술면접

SQL 인젝션은 악의적인 사용자가 입력값에 SQL 구문을 삽입하여 의도하지 않은 데이터베이스 작업을 수행하게 만드는 공격입니다. Go에서는 Query나 Exec 메서드에 플레이스홀더(?)를 사용하고 별도의 인자로 값을 전달하는 prepared statement 방식을 사용해야 합니다. 예를 들어 db.Query('SELECT * FROM users WHERE id = ?', userID)처럼 작성하면 데이터베이스 드라이버가 값을 안전하게 이스케이프 처리합니다. fmt.Sprintf로 쿼리 문자열을 직접 조합하면 사용자 입력에 포함된 SQL 구문이 그대로 실행되어 데이터 유출이나 삭제가 발생할 수 있습니다. prepared statement는 쿼리 구조와 데이터를 분리하여 처리하므로 입력값이 항상 데이터로만 취급됩니다.

XSS는 공격자가 악의적인 스크립트를 웹 페이지에 삽입하여 다른 사용자의 브라우저에서 실행되게 만드는 공격입니다. Go의 html/template 패키지는 템플릿에 삽입되는 모든 값을 자동으로 컨텍스트에 맞게 이스케이프 처리하여 HTML, JavaScript, CSS 등에서 스크립트가 실행되지 않도록 방지합니다. text/template 패키지는 이러한 자동 이스케이프 기능이 없어 HTML 출력에는 적합하지 않습니다. 사용자 입력을 렌더링할 때는 반드시 html/template을 사용하고, template.HTML 같은 타입으로 강제 변환하여 이스케이프를 우회하는 것은 신뢰할 수 있는 데이터에만 사용해야 합니다. API 응답으로 JSON을 반환할 때도 Content-Type을 application/json으로 명시하여 브라우저가 HTML로 해석하지 않도록 해야 합니다.

CSRF는 공격자가 피해자의 인증 정보(쿠키 등)를 이용하여 피해자 모르게 악의적인 요청을 서버에 보내는 공격입니다. 방어 방법으로는 각 세션마다 고유한 CSRF 토큰을 생성하여 폼이나 요청 헤더에 포함시키고, 서버에서 요청 시 이 토큰을 검증하는 방식이 일반적입니다. Go에서는 gorilla/csrf 같은 미들웨어를 사용하거나 직접 구현할 수 있으며, 토큰은 암호학적으로 안전한 난수로 생성해야 합니다. CSRF 토큰은 쿠키가 아닌 폼 필드나 커스텀 헤더에 포함되어야 하며, GET 요청에는 상태 변경 작업을 수행하지 않도록 설계해야 합니다. SameSite 쿠키 속성을 Strict나 Lax로 설정하는 것도 추가적인 방어 수단이 됩니다.

세션 ID는 crypto/rand 패키지를 사용하여 암호학적으로 안전한 난수로 생성해야 하며, 충분한 길이(최소 128비트)를 가져야 합니다. 세션 쿠키는 HttpOnly 플래그를 설정하여 JavaScript에서 접근할 수 없게 하고, Secure 플래그를 설정하여 HTTPS 연결에서만 전송되도록 해야 합니다. SameSite 속성을 Lax나 Strict로 설정하면 CSRF 공격을 추가로 방어할 수 있습니다. 세션 고정 공격을 방지하려면 로그인 성공 시 기존 세션 ID를 폐기하고 새로운 세션 ID를 발급해야 합니다. 또한 세션에는 적절한 타임아웃을 설정하고, 로그아웃 시 서버 측 세션 데이터를 완전히 삭제해야 합니다.

Rate Limiting은 특정 시간 동안 허용되는 요청 수를 제한하여 무차별 대입 공격이나 서비스 남용을 방지합니다. golang.org/x/time/rate 패키지의 Limiter는 토큰 버킷 알고리즘을 구현하며, NewLimiter로 초당 허용 요청 수와 버스트 크기를 설정할 수 있습니다. 미들웨어에서 IP 주소나 사용자 ID를 키로 하는 map에 각 Limiter를 저장하고, Allow 메서드로 요청 허용 여부를 판단합니다. 단일 서버에서는 sync.Map이나 mutex로 동시성을 처리하지만, 분산 환경에서는 Redis를 사용하여 INCR 명령과 EXPIRE로 요청 카운트를 관리하거나, Redis의 Lua 스크립트로 원자적 연산을 수행해야 합니다. 제한을 초과한 요청에는 429 Too Many Requests 상태 코드와 Retry-After 헤더를 반환하여 클라이언트에게 재시도 시점을 알려줍니다.