태그

#보안.

#보안 태그를 붙인 글.

글 14편

#보안 · 14개

ZIP 크기와 실제로 풀린 바이트를 따로 셌다 — Assets/HideMorph/Scripts/Online/StagePackageCodec.cs 코드 발췌와 글의 핵심 내용

HideMorph 2026년 7월 20일 4분

작은 스테이지 압축 파일이 풀자마자 커질 수 있었다

커스텀 스테이지 ZIP의 겉 크기만 확인해서는 부족했다. 경로, 파일 수, 압축 해제 크기와 PNG 헤더까지 같은 예산 안에서 확인했다.

#Unity#ZIP

메일에는 secret, DB에는 해시만 남겼다 — apps/api/src/modules/auth/auth.service.ts 코드 발췌와 글의 핵심 내용

Avoon 2026년 7월 15일 3분

가입한 이메일인지 비밀번호 찾기에서 들키고 있었다

비밀번호 찾기 응답이 계정 존재 여부에 따라 달랐다. 화면에는 늘 같은 답을 주고, 재설정이 끝나면 남은 링크와 로그인 세션을 한꺼번에 끊도록 손봤다.

#인증#보안

토큰마다 60회, IP 전체에는 더 넉넉한 상한을 뒀다 — backend/app/Http/Controllers/Api/V1/WatchSnapshotController.php 코드 발췌와 글의 핵심 내용

PulseLock 2026년 7월 14일 2분

회사 와이파이에서 워치들이 한꺼번에 막혔다

워치 시세 요청을 IP 하나로만 제한했더니 같은 네트워크의 정상 기기가 서로 quota를 빼앗았다. 토큰별 제한과 넉넉한 IP 상한을 함께 뒀다.

#Laravel#watchOS

DB에는 코드와 secret의 해시만 남겼다 — backend/app/Domain/Watch/Services/WearEnrollmentService.php 코드 발췌와 글의 핵심 내용

PulseLock 2026년 7월 14일 2분

Wear OS 연결 코드를 그냥 평문으로 저장하지 않은 이유

워치에 보이는 8자리 코드는 짧고 사람이 직접 입력해야 했다. 혼동 문자를 빼고, 서버에는 해시만 저장하고, 15분 뒤에는 못 쓰게 했다.

#Wear OS#Laravel

공개 DNS와 공인 IPv4만 남겼다 — apps/mobile-native/src/lib/public-issue-source-url.ts 코드 발췌와 글의 핵심 내용

askrs 2026년 7월 14일 3분

앱에 출처 링크를 붙이려다 URL 검사부터 길어졌다

자동 주제의 출처를 앱에서도 열게 했는데 아무 URL이나 OS 브라우저로 넘길 수는 없었다. 공개 주소만 통과시키는 검사 함수를 만들었다.

#React Native#URL

HTTPS 공식 호스트와 mailto만 남겼다 — src/services/linking/index.ts 코드 발췌와 글의 핵심 내용

PitStop24 2026년 7월 13일 3분

외부 링크 버튼에 아무 주소나 넘기면 안 되는 이유

경기 출처와 문의 링크를 공통 함수로 열다가 임의 스킴까지 통과할 여지가 생겼다. HTTPS 호스트와 mailto 형식을 좁게 허용하고 실패 안내도 한곳에 모았다.

#React Native#딥링크

스토어 상품과 앱 기능의 식별자를 명시적으로 연결했다 — Assets/HideMorph/Scripts/Integration/HideMorphIntegratedRuntimeCoordinator.cs 코드 발췌와 글의 핵심 내용

HideMorph 2026년 7월 12일 4분

결제 성공 창이 떴는데 광고 제거는 켜지지 않았다

스토어 product id와 앱 권한 key를 같은 문자열처럼 쓰다가 활성화가 끊겼다. 영수증 확인 뒤 entitlement를 다시 읽어 기능을 여는 흐름을 맞췄다.

#Unity IAP#Entitlement

설정은 UserDefaults에, 토큰은 App Group Keychain에 뒀다 — watchos/_shared/PulseLockWatchShared.swift 코드 발췌와 글의 핵심 내용

PulseLock 2026년 7월 11일 3분

애플워치 토큰을 설정 파일에 넣어 둔 게 마음에 걸렸다

아이폰과 워치가 함께 읽는 App Group 설정에 장기 토큰까지 들어 있었다. 일반 설정은 그대로 두고 토큰만 공유 Keychain으로 옮겼다.

#Swift#watchOS

진짜 숫자는 살리고 자유 입력값만 중립화했다 — mobile/src/portfolio/csv.ts 코드 발췌와 글의 핵심 내용

PulseLock 2026년 7월 11일 3분

포트폴리오 메모가 엑셀에서 수식으로 실행됐다

CSV에서 쉼표와 따옴표만 처리하면 되는 줄 알았다. 등호로 시작하는 메모가 수식이 되는 걸 보고 자유 입력 문자열을 따로 막았다.

#TypeScript#CSV

코드는 실제 계정에만 만들고 답은 똑같이 보냈다 — cloudflare/pitstop24-api/src/index.ts 코드 발췌와 글의 핵심 내용

PitStop24 2026년 7월 11일 3분

가입하지 않은 이메일에도 같은 답을 준 이유

가입하지 않은 이메일을 알려주는 문구가 계정 조회 수단이 됐다. 주소가 있든 없든 같은 답을 주고 실제 계정에만 메일을 보내게 고쳤다.

#Cloudflare Workers#인증

askrs 2026년 7월 11일 3분

프로필 사진 URL을 그냥 저장하면 안 됐다

HTTPS면 괜찮을 줄 알았는데 내부 IP도 문법상 멀쩡한 URL이었다. 저장과 이미지 로더가 같은 허용 목록을 보게 했다.

#보안#OAuth

밖에는 같은 404, 안에는 찾을 번호를 남겼다 — backend/src/common/errors/masked-not-found.ts 코드 발췌와 글의 핵심 내용

Avoon 2026년 7월 11일 2분

없는 예약과 남의 예약을 똑같이 보여 준 이유

남의 예약에는 403, 없는 예약에는 404를 주니 식별자만 바꿔도 존재 여부가 보였다. 밖에서는 같은 404를 주고 자세한 원인은 내부 기록으로만 남겼다.

#보안#Multi-tenant

파일 이름 대신 실제 첫 바이트를 읽었다 — backend/src/common/upload/upload-security.service.ts 코드 발췌와 글의 핵심 내용

Avoon 2026년 7월 11일 3분

이미지라고 올린 파일이 사실 이미지가 아니었다

파일 이름과 MIME만 보고 이미지를 받았다가 내용이 전혀 다른 파일도 통과한다는 걸 알았다. 첫 바이트로 형식을 확인하고 이미지는 다시 인코딩해서 저장했다.

#파일 업로드#보안

세션 버전과 refresh token을 함께 바꿨다 — apps/api/src/auth/strategies/jwt.strategy.ts 코드 발췌와 글의 핵심 내용

askrs 2026년 7월 11일 2분

관리자 비밀번호를 바꿔도 기존 세션이 남아 있었다

로그인을 비밀번호 하나로 단순화하면서 기존 관리자 세션은 즉시 끊어지도록 세션 버전을 함께 확인했다.

#보안#세션