이 사이트의 실습은 자바스크립트를 켜야 움직입니다. 아래는 같은 내용을 글로 적은 것입니다.

공부

보안

누구인지 확인하는 인증, 무엇을 할 수 있는지 정하는 인가, 웹 공격과 방어, 암호 기술을 봅니다.

인증

• 세션과 JWT — 로그인 상태는 어디에 저장되나
• 쿠키 — 기억하지 못하는 서버에게 매번 이름표를 내민다
• 비밀번호 해시 — DB가 털렸을 때 비밀번호는 얼마나 버티나
• JWT의 구조와 검증 — 누구나 읽을 수 있는 토큰을 서버는 어떻게 믿나
• OAuth 로그인 흐름 — "카카오로 로그인"을 누르면 오가는 것들
• 세션 하이재킹과 세션 고정 — 세션 ID를 아는 사람이 곧 그 사용자다

인가

• 시큐리티 필터 체인 — 401과 403은 어디에서 갈리나
• 접근 제어 — 로그인한 사용자가 주소의 번호만 바꾸면 남의 주문이 보이나
• 메서드 보안 — 메서드에 붙인 권한 검사는 언제 실행되고 언제 빠지나

웹 공격과 방어

• 웹 공격 세 가지 — 입력값을 그대로 믿으면 생기는 일
• CORS — Postman에서는 되는데 브라우저에서만 막히는 이유
• 클릭재킹과 오픈 리다이렉트 — 내 화면이 남의 페이지에 숨겨지거나, 내 주소가 사용자를 남의 사이트로 넘겨주는 일을 어떻게 막나
• 정보 누출 — 오류 응답과 로그인 실패 글귀는 무엇을 밖으로 알려 주나
• 요청 수 제한 — 초당 5건까지만 받는다는 것의 세 가지 의미
• 의존성과 공급망 — 내가 적지 않은 라이브러리는 어떻게 내 프로그램에 들어오고, 그 버전은 누가 정하나

암호 기술

• 해시·암호화·서명 — 숨기는 것, 확인하는 것, 되돌릴 수 없는 것
• TLS 핸드셰이크 — https의 자물쇠가 잠기기까지