VIBECODING 365 / DICTIONARY
사이트 간 요청 위조
CSRF (Cross-Site Request Forgery)
DEFINITION
정의
사용자가 로그인한 상태를 악용해, 공격자가 다른 사이트에서 원치 않는 요청을 대신 보내게 만드는 공격이다. 쿠키 기반 로그인은 브라우저가 쿠키를 자동으로 붙여 보내기 때문에, 방어가 없으면 사용자가 모르는 사이에 설정 변경이나 결제 같은 요청이 실행될 수 있다. 방어 방법은 CSRF 토큰, SameSite 쿠키, 중요한 요청의 재확인, Origin/Referer 검증 등이 있다. AI에게 폼 제출이나 관리자 API를 만들게 할 때 '쿠키 인증이면 CSRF 방어도 포함해줘'라고 명시해야 한다.
참고
API가 Authorization 헤더만 사용하고 쿠키를 쓰지 않는 경우에는 위험 모델이 달라진다.
ENGLISH
CSRF (Cross-Site Request Forgery)
EXAMPLE
프로필 이메일 변경 폼을 만들 때 서버가 CSRF 값을 발급하고, 제출 요청에는 같은 값이 포함되어야만 처리한다. AI가 POST 라우트만 생성했다면 SameSite 쿠키 설정과 Origin 검증이 있는지 함께 확인한다.
NOTES
API가 Authorization 헤더만 사용하고 쿠키를 쓰지 않는 경우에는 위험 모델이 달라진다.
REFERENCE
owasp.org/www-community/attacks/csrf관련
이어서 볼 문서
RELATED TERMS
연관 용어
Authentication
사용자가 누구인지 확인하는 과정이다. 로그인 폼에서 이메일과 비밀번호를 확인하거나, 소셜 로그인으로 사용자의 신원을 확인하는 단계가 인증에 해당한다. 바이브 코딩에서는 AI가 로그인 기능을 빠르게 만들어 주지만, 비밀번호를 평문으로 저장하거나 만료 없는 로그인 상태를 만드는 실수가 자주 생긴다. 초보자는 인증을 '문 앞에서 신분증을 확인하는 일'로 이해하면 쉽고, 실제 서비스에서는 비밀번호 해시, 세션, JWT, OAuth 같은 방식 중 프로젝트 규모와 보안 요구에 맞는 방법을 선택해야 한다.
보안·인증 권한 부여Authorization
이미 인증된 사용자가 특정 데이터나 기능에 접근할 수 있는지 판단하는 과정이다. 예를 들어 로그인은 성공했더라도 다른 사람의 주문 내역을 볼 수 없어야 하고, 일반 사용자가 관리자 페이지에 접근하면 안 된다. AI가 만든 CRUD 코드는 '로그인했는가'만 확인하고 '이 데이터의 소유자인가'를 빼먹는 경우가 많다. 바이브 코딩에서는 API 라우트, 서버 액션, 데이터베이스 쿼리마다 권한 조건을 명시적으로 요구하고 테스트해야 안전하다.
보안·인증 비밀번호 해시Password Hash
비밀번호 원문을 되돌릴 수 없는 문자열로 변환해 저장하는 방식이다. 데이터베이스가 유출되더라도 사용자의 실제 비밀번호가 바로 드러나지 않도록 보호한다. 단순 SHA 해시만 쓰는 것은 안전하지 않고, bcrypt, Argon2, scrypt처럼 비밀번호 저장용으로 설계된 느린 해시 알고리즘과 salt를 사용해야 한다. 바이브 코딩에서 AI가 '간단한 로그인'을 만들 때 비밀번호를 그대로 저장하는 코드를 내놓을 수 있으므로, 회원가입·로그인 코드 리뷰의 첫 체크포인트가 된다.