웹 보안 미드레벨 테스트·코드품질 면접

단위 테스트에서는 입력 sanitization 함수가 스크립트 태그, 이벤트 핸들러, javascript: 프로토콜 등을 올바르게 제거하거나 이스케이프하는지 검증합니다. 예를 들어 '<script>alert(1)</script>', '<img src=x onerror=alert(1)>' 같은 페이로드를 입력으로 주고 기대하는 출력이 나오는지 확인합니다. 통합 테스트에서는 실제 HTTP 요청을 통해 사용자 입력이 저장되고 렌더링되는 전체 플로우를 검증합니다. 데이터베이스에 악성 스크립트를 포함한 데이터를 저장한 후, 해당 데이터를 조회하는 API 응답이나 렌더링된 HTML에서 스크립트가 실행 가능한 형태로 노출되지 않는지 확인합니다. 또한 Content-Security-Policy 헤더가 올바르게 설정되어 있는지도 통합 테스트에서 검증해야 합니다. E2E 테스트에서는 Selenium이나 Playwright를 사용해 실제 브라우저에서 스크립트 실행 여부를 확인할 수 있습니다.

첫째, 인증 체크 누락 여부를 확인합니다. 새로운 엔드포인트나 조건문 분기에서 인증 미들웨어가 빠진 경우 인증 우회가 발생할 수 있습니다. 둘째, 권한 검증 로직에서 수평적/수직적 권한 상승 취약점을 확인합니다. 예를 들어 사용자 ID를 파라미터로 받을 때 요청자가 해당 리소스의 소유자인지 검증하지 않으면 IDOR 취약점이 발생합니다. 셋째, JWT 토큰 검증 시 알고리즘 혼동 공격을 방지하기 위해 서명 알고리즘을 명시적으로 지정했는지, 'none' 알고리즘을 거부하는지 확인합니다. 넷째, 세션 관리에서 로그아웃 시 세션이 완전히 무효화되는지, 세션 고정 공격을 방지하기 위해 로그인 성공 시 세션 ID를 재생성하는지 검토합니다. 다섯째, 비밀번호나 토큰이 로그에 기록되거나 에러 메시지에 노출되지 않는지 확인합니다. 마지막으로 하드코딩된 시크릿이나 API 키가 없는지, 환경 변수나 시크릿 관리 시스템을 사용하는지 점검합니다.

먼저 기존 동작을 보존하기 위해 현재 로직에 대한 특성화 테스트(Characterization Test)를 작성합니다. 정상적인 입력값들에 대해 기대하는 쿼리 결과가 나오는지 검증하는 테스트들을 만듭니다. 다음으로 SQL Injection 공격 페이로드를 포함한 실패 테스트를 작성합니다. 예를 들어 ' OR '1'='1, '; DROP TABLE users-- 같은 입력에 대해 쿼리가 안전하게 처리되어야 함을 명시하는 테스트를 추가합니다. 이 테스트는 현재 실패하는 상태입니다. 그 다음 Parameterized Query를 사용하도록 코드를 리팩토링합니다. 문자열 연결 방식의 쿼리를 PreparedStatement나 ORM의 파라미터 바인딩으로 변경합니다. 리팩토링 후 모든 특성화 테스트가 여전히 통과하는지 확인하여 기존 동작이 보존되었음을 검증하고, SQL Injection 테스트도 통과하는지 확인합니다. 마지막으로 엣지 케이스를 추가로 테스트하고, 코드 리뷰를 통해 모든 쿼리 생성 부분이 안전하게 변경되었는지 확인합니다.