[javascript] Express.js에서의 보안 설정 방법

04 Dec 2023

javascript

Express.js는 Node.js를 기반으로한 웹 애플리케이션 프레임워크로, 보안 설정은 중요한 부분입니다. 이 글에서는 Express.js에서 어떻게 보안 설정을 할 수 있는지 알아보겠습니다.

1. Helmet 미들웨어 사용하기

Helmet은 Express.js와 함께 사용할 수 있는 보안 미들웨어입니다. 이 미들웨어는 다양한 HTTP 헤더를 설정하여 애플리케이션의 보안을 향상시킵니다.

먼저, helmet 패키지를 설치합니다:

npm install helmet

그리고, Express app에 Helmet 미들웨어를 추가합니다:

const express = require('express');
const helmet = require('helmet');

const app = express();

app.use(helmet());

이렇게 하면 Helmet이 기본적인 보안 헤더를 설정하여 애플리케이션의 보안을 향상시킵니다.

2. Cross-site Scripting(XSS) 방어하기

XSS 공격은 사용자가 입력한 스크립트 코드가 웹 페이지에 삽입되어 다른 사용자에게 악의적인 동작을 유발할 수 있는 공격입니다. Express.js에서 XSS 공격을 방어하기 위해서는 xss-clean 패키지를 사용할 수 있습니다.

xss-clean 패키지를 설치합니다:

npm install xss-clean

그리고, Express app에 xss-clean 미들웨어를 추가합니다:

const express = require('express');
const xssClean = require('xss-clean');

const app = express();

app.use(xssClean());

이렇게 하면 사용자 입력에서 스크립트 코드를 제거하여 XSS 공격을 방어할 수 있습니다.

3. API 쿼리 제한하기

Express.js 애플리케이션에서는 API 요청에 대한 쿼리 제한을 설정하여 악의적으로 과도한 양의 데이터를 요청하는 것을 방지할 수 있습니다. express-rate-limit 패키지를 사용하여 API 쿼리 제한을 추가할 수 있습니다.

express-rate-limit 패키지를 설치합니다:

npm install express-rate-limit

그리고, Express app에 rate-limit 미들웨어를 추가합니다:

const express = require('express');
const rateLimit = require('express-rate-limit');

const app = express();

const limiter = rateLimit({
  windowMs: 15 * 60 * 1000, // 15분 단위로 제한
  max: 100, // 최대 100개 요청까지 허용
});

app.use('/api/', limiter);

위의 예에서 /api/ 경로에 대한 요청은 15분 동안 최대 100번까지만 허용됩니다.

4. CSRF(Cross-Site Request Forgery) 방어하기

CSRF 공격은 인증된 사용자가 악의적인 웹 사이트에 접근해서 인증된 세션을 이용하여 악의적인 동작을 수행하는 공격입니다. CSRF 공격을 방어하기 위해서는 csurf 패키지를 사용할 수 있습니다.

csurf 패키지를 설치합니다:

npm install csurf

그리고, Express app에 csurf 미들웨어를 추가합니다:

const express = require('express');
const csrf = require('csurf');

const app = express();

app.use(csrf());

// CSRF 토큰을 뷰로 전달하는 미들웨어 설정
app.use(function(req, res, next) {
  res.locals.csrfToken = req.csrfToken();
  next();
});

위의 예에서 req.csrfToken()은 CSRF 토큰을 생성합니다. 이 토큰은 뷰에서 사용하여 CSRF 공격을 방어할 수 있도록 도와줍니다.

결론

Express.js 애플리케이션을 보안하기 위해서는 Helmet 미들웨어를 사용하여 기본적인 보안 헤더를 설정하고, Cross-site Scripting(XSS)를 방어하기 위해 xss-clean 미들웨어를 추가하며, API 쿼리를 제한하기 위해 express-rate-limit 미들웨어를 사용하고, CSRF 공격을 방어하기 위해 csurf 미들웨어를 추가하는 것이 좋습니다. 이러한 보안 설정을 통해 애플리케이션의 보안을 향상시킬 수 있습니다.

1. Helmet 미들웨어 사용하기

2. Cross-site Scripting(XSS) 방어하기

3. API 쿼리 제한하기

4. CSRF(Cross-Site Request Forgery) 방어하기

결론

참고 자료