개발 공부 기록

웹 서비스에서 입력창을 통한 해킹(SQL 인젝션, XSS)을 방어

데메즈 — Thu, 28 May 2026 10:04:47 +0900

1. SQL 인젝션 (SQL Injection) 방어

악의적인 SQL 구문을 입력해 DB 데이터를 탈취하거나 조작하는 공격입니다.

✅ 체크리스트

MyBatis XML 매퍼에서 파라미터를 받을 때 ${} 기호를 사용하고 있지 않은가?
ORDER BY 절이나 테이블명을 동적으로 바꿀 때, 사용자 입력을 그대로 연결(Concatenation)하고 있지 않은가?

️ 구현 방법

① 반드시 #{} (PreparedStatement) 사용하기 MyBatis에서 #{}을 사용하면 내부적으로 입력값을 문자열(String)로 안전하게 바인딩하여 쿼리 구조 자체를 변경할 수 없게 만듭니다.

XML

SELECT * FROM wtr_api_artcl_info WHERE api_nm = '${apiNm}'

SELECT * FROM wtr_api_artcl_info WHERE api_nm = #{apiNm}

② 동적 쿼리(ORDER BY 등)는 화이트리스트 검증 ORDER BY 구문에는 #{}을 쓸 수 없어서 어쩔 수 없이 ${}를 써야 할 때가 있습니다. 이때는 입력값을 그대로 넣지 말고, 서버 단에서 허용된 문자열(화이트리스트)인지 무조건 체크해야 합니다.

// Controller나 Service에서 검증
String sortType = commandParm.getSortType();

// 허용된 정렬 기준이 아니면 기본값으로 강제 변경
if (!"clot_cnt".equals(sortType) && !"api_nm".equals(sortType)) {
    sortType = "api_no"; // 기본값
}

2. 크로스 사이트 스크립팅 (XSS) 방어

게시판이나 입력창에 <script>alert('해킹')</script> 같은 태그를 넣어, 다른 사용자가 조회할 때 악성 스크립트가 실행되게 만드는 공격입니다.

✅ 체크리스트

화면(JSP 등)에 데이터를 출력할 때 HTML 태그가 그대로 렌더링되도록 방치하고 있지 않은가?
API(JSON) 통신 시, 클라이언트에서 보낸 < , > 기호가 그대로 DB에 들어가고 있는가?

️ 구현 방법

① JSP 화면 출력 시 이스케이프 처리 만약 JSP를 사용 중이라면 데이터 출력 시 무조건 <c:out>을 사용하세요. < 기호를 <로 자동 변환하여 스크립트 실행을 막아줍니다.

<div>${apiInfo.apiNm}</div>

<div><c:out value="${apiInfo.apiNm}" /></div>

② JSON API 통신 시 Jackson XSS 처리 (가장 중요) 앞서 작성하셨던 @RequestBody나 @ResponseBody를 통한 API 통신의 경우, JSON 데이터를 변환할 때 스크립트 태그를 무력화하는 MessageConverter를 설정해야 합니다.

가장 널리 쓰이는 방법은 네이버에서 만든 Lucy XSS Filter를 적용하거나, Jackson ObjectMapper를 커스터마이징하는 것입니다.

Jackson ObjectMapper 커스텀 예시 (설정 파일에 추가):

@Configuration
public class WebMvcConfig implements WebMvcConfigurer {

    @Override
    public void configureMessageConverters(List<HttpMessageConverter<?>> converters) {
        MappingJackson2HttpMessageConverter converter = new MappingJackson2HttpMessageConverter();
        ObjectMapper objectMapper = new ObjectMapper();
        
        // HTML 문자를 이스케이프 처리하는 모듈 등록 (별도 클래스 구현 필요)
        objectMapper.getFactory().setCharacterEscapes(new HtmlCharacterEscapes());
        
        converter.setObjectMapper(objectMapper);
        converters.add(converter);
    }
}

③ 정규식(Regex)을 통한 입력 원천 차단 가장 강력한 프론트엔드/백엔드 방어입니다. VO 객체에서 아예 특수문자나 영문 스크립트가 들어오지 못하도록 @Pattern으로 막아버립니다.

public class PrecipitationStationVO {

    // 한글, 영문, 숫자, 공백만 허용 (<, >, script 등 원천 차단)
    @Pattern(regexp = "^[a-zA-Z0-9가-힣\\s]*$", message = "특수문자는 입력할 수 없습니다.")
    private String searchKeyword;
}

요약하자면

SQL 방어: MyBatis에서 무조건 #{} 쓴다.
XSS 방어: 입력받을 때 정규식으로 특수문자를 튕겨내거나, 출력할 때 <c:out> / ObjectMapper로 문자열을 치환한다.

[프로그래머스/Java] 원소들의 곱과 합

데메즈 — Mon, 22 Sep 2025 16:47:20 +0900

class Solution {
    public int solution(int[] num_list) {
        int answer = 0;
        int result1 = 1;
        int result2 = 0;
        
        for(int i=0; i<num_list.length; i++){
            result1 *= num_list[i];
            result2 += num_list[i];
        }
        
        if(result1 < result2*result2) answer = 1;
        else answer = 0;
        
        return answer;
    }
}

[프로그래머스/Java] 주사위 게임 2

데메즈 — Mon, 15 Sep 2025 15:13:47 +0900

class Solution {
    public int solution(int a, int b, int c) {
        int answer = 0;
        
        if(a!=b && b!=c && c!=a){
            answer = a+b+c;
        } else if((a!=b && b==c) || (b!=c && a==b) || (c!=b && a==c) ){
            answer = (a+b+c)*(a*a + b*b + c*c);
        } else if(a==b && b==c){
            answer = (a+b+c)*(a*a + b*b + c*c)*(a*a*a + b*b*b + c*c*c);
        }
        
        return answer;
    }
}

다른 풀이

class Solution {
    public int solution(int a, int b, int c) {
        int answer = a + b + c;

        if (a == b || b == c || a == c) {
            answer *= (a * a + b * b + c * c);
        }

        if (a == b && b == c) {
            answer *= (a * a * a + b * b * b + c * c * c);
        }

        return answer;
    }
}

[프로그래머스/JAVA] 등차수열의 특정한 항만 더하기

데메즈 — Thu, 11 Sep 2025 11:44:36 +0900

class Solution {
    public int solution(int a, int d, boolean[] included) {
        int answer = 0;
        
        for(int i=1; i<=included.length; i++){
            if(included[i-1]){
                answer += a + d*(i-1);
            }
        }
        
        return answer;
    }
}

2탄. eGovFramework 소스 세팅

데메즈 — Wed, 23 Jul 2025 17:43:39 +0900

- 표준프레임워크 포털 > 다운로드 > 공통컴포넌트 선택

(이미지 누르면 이동)

이미지 누르면 페이지로 이동

- 최신버전 파일 다운로드

- 압축파일 풀어서 소스로 옮기기

- pom.xml 파일에서도 필요한 소스 붙여넣기

1탄. IntelliJ에서 새프로젝트 만들기

데메즈 — Wed, 23 Jul 2025 16:37:18 +0900

- File > New > Project... 선택

- Maven 에서 SDK 1.0로 맞추고 Next

- Name, GroupId 설정하고 Finish

- 프로젝트 만들기 완성!

인코딩 설정

- File > Settings... 클릭

- Editor > File Encodings 선택 그림처럼 설정하고 Apply ➡ OK

20250718

데메즈 — Wed, 23 Jul 2025 15:24:57 +0900

Arrays.sort() 함수

package com.company;

import java.util.Arrays;

public class Main {

    public static void main(String[] args) throws Exception {
        int[] array = {9,-1,0};

        Arrays.sort(array);

        System.out.println(Arrays.toString(array)); //[-1, 0, 9]
    }
}

[프로그래머스/Java] 코드 처리하기

데메즈 — Mon, 21 Jul 2025 18:54:34 +0900

class Solution {
    public String solution(String code) {
        String ret = "";
        int mode = 0;
        
        char[] codeArr = code.toCharArray();
        for(int i=0; i<codeArr.length; i++){
            if(codeArr[i] == '1'){
                mode = Math.abs(mode-1);
            } else if(i%2==0 && mode == 0){ //짝수인 경우
                ret += codeArr[i];
            } else if(i%2!=0 && mode == 1){ //홀수인 경우
                ret += codeArr[i];
            }
        }
        if(ret == "") ret = "EMPTY";
        
        return ret;
    }
}

다른 풀이

class Solution {
    public String solution(String code) {
        StringBuilder answer = new StringBuilder();
        int mode = 0;
        for (int i = 0; i < code.length(); i++) {
            char current = code.charAt(i);
            if (current == '1') {
                mode = mode == 0 ? 1 : 0;
                continue;
            }

            if (i % 2 == mode) {
                answer.append(current);
            }
        }
        return answer.length() == 0 ? "EMPTY" : answer.toString();
    }
}

[프로그래머스/Java] 중앙값 구하기

데메즈 — Fri, 18 Jul 2025 14:09:04 +0900

import java.util.Arrays;

class Solution {
    public int solution(int[] array) {
        int answer = 0;
        
        Arrays.sort(array);
        answer = array[array.length/2];
        
        return answer;
    }
}

[프로그래머스/Java] 나머지 구하기

데메즈 — Fri, 18 Jul 2025 12:18:28 +0900

class Solution {
    public int solution(int num1, int num2) {
        return num1%num2;
    }
}