사용자 입력을 왜 전부 의심해야 하는가?

공격자가 마음대로 정할 수 있는 값이라서다. 그중 가장 파괴적인 길이 데이터가 코드로 해석되는 것이고, SQL 인젝션과 XSS는 겉모습만 다를 뿐 이 구조를 공유한다.

막는 원칙은 붙이지 않는 것이다. 쿼리는 파라미터 바인딩으로 값과 명령을 분리해 전달하고, 화면에 내보낼 때는 그 문맥에 맞게 이스케이프한다.

이스케이프는 문맥마다 다르다. HTML과 자바스크립트 문자열과 URL은 위험한 글자가 서로 달라 한 번의 치환으로 전부를 막을 수 없다. 사용자에게 HTML 자체를 허용한다면 치환이 아니라 정화 도구가 필요하다.

의심할 범위는 폼 입력만이 아니다. 헤더, 쿠키, URL 경로, 업로드된 파일 이름까지 — 신뢰 경계 밖에서 온 것은 전부 같은 자격이다. 코드가 되지 않아도 경로를 타고 남의 파일에 닿거나 서버를 대신 움직이게 하는 길도 있다.

공격 이름보다 데이터와 명령이 섞이는 구조를 봐야 한다. 인젝션 계열의 답은 늘 같다 — 데이터와 명령을 한 줄에 섞지 않는다.