[typescript] 타입스크립트를 활용한 Node.js 애플리케이션에 보안 취약점 대응 사례

14 Dec 2023

typescript

최근에는 많은 기업들이 타입스크립트로 개발된 Node.js 애플리케이션을 채택하고 있습니다. 그러나 타입스크립트를 사용하더라도 보안 취약점을 완전히 제거하는 것은 쉬운 일이 아닙니다. 이번 포스트에서는 타입스크립트를 사용하면서 발생할 수 있는 몇 가지 일반적인 보안 취약점과 이에 대한 대응 방법에 대해 다루겠습니다.

취약점: 권한 없는 파일 업로드

보안 취약점 중 하나는 권한 없는 파일 업로드입니다. 사용자가 의도하지 않은 파일을 업로드할 수 있다면, 서버나 애플리케이션에 보안 문제가 발생할 수 있습니다. 이러한 취약점을 방지하기 위해 파일 업로드 전에 파일 확장자를 검증하고, 업로드된 파일의 유형을 확실하게 확인해야 합니다.

타입스크립트를 사용한다면, 타입 정의를 통해 업로드된 파일의 유효성을 검사할 수 있습니다. 예를 들어, Multer와 같은 라이브러리를 사용하여 파일 업로드를 관리하고, 타입 정의를 통해 파일의 MIME 유형과 확장자를 검증할 수 있습니다.

import * as Multer from 'multer';

const fileFilter = (req, file, cb) => {
  if (file.mimetype === 'image/jpeg' || file.mimetype === 'image/png') {
    cb(null, true);
  } else {
    cb(new Error('Invalid file type'), false);
  }
};

const upload = Multer({ fileFilter: fileFilter });

취약점: SQL Injection

SQL Injection은 여전히 많은 웹 애플리케이션에서 발생하는 보안 취약점 중 하나입니다. 타입스크립트를 사용하더라도 데이터베이스와의 상호작용에서 쿼리를 문자열로 직접 조립하는 것은 위험할 수 있습니다. 이러한 취약점을 방지하기 위해 ORM(Object-Relational Mapping) 라이브러리를 사용하거나, 프리페어드 스테이트먼트(Prepared Statement)를 활용해야 합니다.

import { getConnection } from 'typeorm';

const userId = req.body.userId;
const query = `SELECT * FROM users WHERE id = ${userId}`; 

// Bad practice - Vulnerable to SQL injection
getConnection().query(query, (err, results) => {
  // Handle results
});

// Good practice - Using parameterized query
getConnection().query('SELECT * FROM users WHERE id = ?', [userId], (err, results) => {
  // Handle results
});

// ORM 예시
import { getConnection } from 'typeorm';
import { User } from '../entity/User';

const userRepository = getConnection().getRepository(User);
const user = await userRepository.createQueryBuilder('user')
  .where('user.id = :id', { id: userId })
  .getOne();

타입스크립트를 사용하여 보안 취약점에 대응하는 방법에 대해 간략히 살펴봤습니다. 업로드된 파일의 유효성 검사 및 SQL Injection 공격에 대응하기 위해 타입스크립트의 강력한 정적 타입 검사 기능을 적극적으로 활용하는 것이 중요합니다. 여기서 언급된 사례들은 보다 철저한 보안을 위한 일부 방법에 불과합니다. 개발자는 보다 심층적인 보안 전문가의 지식과 조언을 찾아보는 것이 바람직합니다.

참고 문헌:

기술적인 측면에서의 타입스크립트와 보안에 관한 더 많은 정보를 얻기 위해서는 보안 전문가들의 블로그나 전문 서적을 참고하는 것이 좋습니다.