웹 보안 기본: CORS/CSRF와 헤더 보안

✅ SOP가 허용하는 것 (Cross-Origin 가능)
─────────────────────────────────────────
- <img>, <script>, <link> 태그로 리소스 로딩
- <form> 전송 (POST도 가능 → 이것이 CSRF의 원인!)
- <iframe> 임베딩 (frame-ancestors로 제한 가능)

❌ SOP가 차단하는 것
─────────────────────────────────────────
- fetch/XMLHttpRequest로 다른 Origin의 응답 읽기
- 다른 Origin iframe의 DOM 접근
- 다른 Origin의 Cookie/Storage 접근

Method: GET, HEAD, POST 중 하나
Headers: Accept, Accept-Language, Content-Language, Content-Type만
Content-Type: application/x-www-form-urlencoded, multipart/form-data, text/plain만

Browser                                    Server
  │                                           │
  │── OPTIONS /api/users ──────────────────→  │
  │   Origin: https://app.example.com         │
  │   Access-Control-Request-Method: PUT      │
  │   Access-Control-Request-Headers:         │
  │     Authorization, Content-Type           │
  │                                           │
  │←── 200 OK ────────────────────────────    │
  │   Access-Control-Allow-Origin:            │
  │     https://app.example.com               │
  │   Access-Control-Allow-Methods:           │
  │     GET, PUT, DELETE                      │
  │   Access-Control-Allow-Headers:           │
  │     Authorization, Content-Type           │
  │   Access-Control-Max-Age: 3600            │
  │                                           │
  │── PUT /api/users ──────────────────────→  │  ← 본 요청
  │   Origin: https://app.example.com         │
  │   Authorization: Bearer xxx               │
  │                                           │
  │←── 200 OK ────────────────────────────    │
  │   Access-Control-Allow-Origin:            │
  │     https://app.example.com               │

// 프론트엔드
fetch('https://api.example.com/me', {
  credentials: 'include'  // 쿠키 포함
});

@Bean
SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
    return http
        .cors(cors -> cors.configurationSource(corsConfigurationSource()))
        .build();
}

@Bean
CorsConfigurationSource corsConfigurationSource() {
    CorsConfiguration config = new CorsConfiguration();
    
    // ✅ 운영: 허용 Origin을 명시적으로 나열
    config.setAllowedOrigins(List.of(
        "https://app.example.com",
        "https://admin.example.com"
    ));
    
    // 또는 패턴으로 (서브도메인 와일드카드)
    // config.setAllowedOriginPatterns(List.of("https://*.example.com"));
    
    config.setAllowedMethods(List.of("GET", "POST", "PUT", "DELETE", "PATCH"));
    config.setAllowedHeaders(List.of("Authorization", "Content-Type", "X-Request-ID"));
    config.setExposedHeaders(List.of("X-Request-ID", "X-RateLimit-Remaining"));
    config.setAllowCredentials(true);
    config.setMaxAge(3600L);  // Preflight 캐시 1시간
    
    UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
    source.registerCorsConfiguration("/api/**", config);
    return source;
}

@RestController
@CrossOrigin(
    origins = "https://app.example.com",
    maxAge = 3600
)
public class UserController {
    // 이 컨트롤러의 모든 엔드포인트에 적용
}

@Configuration
public class WebConfig implements WebMvcConfigurer {
    @Override
    public void addCorsMappings(CorsRegistry registry) {
        registry.addMapping("/api/**")
                .allowedOrigins("https://app.example.com")
                .allowedMethods("GET", "POST", "PUT", "DELETE")
                .allowCredentials(true)
                .maxAge(3600);
    }
}

# Preflight 시뮬레이션
curl -i -X OPTIONS https://api.example.com/api/users \
  -H "Origin: https://app.example.com" \
  -H "Access-Control-Request-Method: PUT" \
  -H "Access-Control-Request-Headers: Authorization, Content-Type"

사용자가 bank.com에 로그인 (세션 쿠키 저장)
         ↓
evil.com에 방문 (광고/링크/이메일)
         ↓
evil.com 페이지가 bank.com으로 요청 전송
         ↓
브라우저가 bank.com 쿠키를 자동으로 첨부!
         ↓
bank.com 서버는 정상 사용자 요청으로 인식

<!-- 1) 자동 제출 폼 -->
<form action="https://bank.com/api/transfer" method="POST" id="exploit">
  <input type="hidden" name="to" value="attacker-account" />
  <input type="hidden" name="amount" value="1000000" />
</form>
<script>document.getElementById('exploit').submit();</script>

<!-- 2) 이미지 태그 (GET 요청) -->
<img src="https://bank.com/api/transfer?to=attacker&amount=1000000" />

<!-- 3) fetch (credentials 포함) -->
<script>
fetch('https://bank.com/api/transfer', {
  method: 'POST',
  credentials: 'include',  // 쿠키 자동 포함
  headers: { 'Content-Type': 'application/x-www-form-urlencoded' },
  body: 'to=attacker&amount=1000000'
});
</script>

@Bean
SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
    return http
        .csrf(csrf -> csrf
            .csrfTokenRepository(HttpSessionCsrfTokenRepository()))
        .build();
}

<!-- Thymeleaf에서 자동 삽입 -->
<form th:action="@{/transfer}" method="post">
    <!-- Spring Security가 자동으로 _csrf hidden field 삽입 -->
    <input type="text" name="amount" />
    <button type="submit">송금</button>
</form>

@Bean
SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
    return http
        .csrf(csrf -> csrf
            // 쿠키에 XSRF-TOKEN 저장 → JS에서 읽어서 X-XSRF-TOKEN 헤더로 전송
            .csrfTokenRepository(CookieCsrfTokenRepository.withHttpOnlyFalse())
            // SPA에서 CSRF 토큰 로딩을 위한 핸들러
            .csrfTokenRequestHandler(new SpaCsrfTokenRequestHandler()))
        .build();
}

// SPA(React/Vue)에서 CSRF 토큰 읽기
function getCsrfToken() {
    return document.cookie
        .split('; ')
        .find(row => row.startsWith('XSRF-TOKEN='))
        ?.split('=')[1];
}

// axios 인터셉터로 자동 전송
axios.interceptors.request.use(config => {
    const token = getCsrfToken();
    if (token) {
        config.headers['X-XSRF-TOKEN'] = token;
    }
    return config;
});

@Bean
SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
    return http
        .csrf(csrf -> csrf.disable())  // Authorization 헤더 기반일 때만!
        // ⚠️ JWT를 쿠키에 저장하면서 disable하면 안 됩니다
        .sessionManagement(session -> session
            .sessionCreationPolicy(SessionCreationPolicy.STATELESS))
        .build();
}

// Spring Boot에서 SameSite 설정
@Bean
public CookieSerializer cookieSerializer() {
    DefaultCookieSerializer serializer = new DefaultCookieSerializer();
    serializer.setSameSite("Lax");
    serializer.setUseSecureCookie(true);
    serializer.setUseHttpOnlyCookie(true);
    return serializer;
}

Strict-Transport-Security: max-age=31536000; includeSubDomains; preload

사용자가 http://bank.com 입력
    ↓
HSTS 없을 때: HTTP 평문 요청 → 301 리다이렉트 → HTTPS
                ↑ 중간자 공격 가능 구간!
    
HSTS 있을 때: 브라우저가 즉시 HTTPS로 변환 (HTTP 요청 자체가 안 감)

Content-Security-Policy:
  default-src 'self';
  script-src 'self' 'nonce-abc123' https://cdn.example.com;
  style-src 'self' 'unsafe-inline';
  img-src 'self' data: https:;
  font-src 'self' https://fonts.gstatic.com;
  connect-src 'self' https://api.example.com;
  frame-ancestors 'none';
  base-uri 'self';
  form-action 'self';

// Spring Boot에서 요청별 nonce 생성
@Component
public class CspNonceFilter extends OncePerRequestFilter {
    @Override
    protected void doFilterInternal(HttpServletRequest request,
            HttpServletResponse response, FilterChain chain)
            throws ServletException, IOException {
        
        String nonce = Base64.getEncoder()
            .encodeToString(SecureRandom.getInstanceStrong()
                .generateSeed(16));
        request.setAttribute("cspNonce", nonce);
        
        response.setHeader("Content-Security-Policy",
            "default-src 'self'; " +
            "script-src 'self' 'nonce-" + nonce + "'; " +
            "style-src 'self' 'unsafe-inline'");
        
        chain.doFilter(request, response);
    }
}

<!-- Thymeleaf에서 nonce 사용 -->
<script th:attr="nonce=${cspNonce}">
    console.log('이 스크립트만 실행 허용');
</script>

1단계: Report-Only 모드로 위반 수집
   Content-Security-Policy-Report-Only: default-src 'self'; report-uri /csp-report

2단계: 위반 로그 분석 → 정책 조정
   - 서드파티 스크립트/CDN 허용 추가
   - unsafe-inline → nonce 방식으로 전환

3단계: 적용 (Report-Only 제거)
   Content-Security-Policy: ...

4단계: 주기적 위반 리포트 모니터링

# MIME Sniffing 방지
X-Content-Type-Options: nosniff

# Clickjacking 방지 (CSP frame-ancestors 권장)
X-Frame-Options: DENY

# Referrer 정보 제한
Referrer-Policy: strict-origin-when-cross-origin

# 브라우저 API 권한 제한
Permissions-Policy: camera=(), microphone=(), geolocation=(), payment=()

# XSS 필터 (레거시, 최신 브라우저는 CSP 사용)
X-XSS-Protection: 0
# 0으로 설정하는 이유: 1;mode=block은 사이드채널 공격에 악용 가능

@Bean
SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
    return http
        .headers(headers -> headers
            // HSTS
            .httpStrictTransportSecurity(hsts -> hsts
                .includeSubDomains(true)
                .maxAgeInSeconds(31536000)
                .preload(true))
            // CSP
            .contentSecurityPolicy(csp -> csp
                .policyDirectives(
                    "default-src 'self'; " +
                    "script-src 'self'; " +
                    "style-src 'self' 'unsafe-inline'; " +
                    "img-src 'self' data: https:; " +
                    "frame-ancestors 'none'"))
            // Clickjacking
            .frameOptions(frame -> frame.deny())
            // Content-Type 스니핑 방지 (기본 활성화)
            .contentTypeOptions(Customizer.withDefaults())
            // Referrer-Policy
            .referrerPolicy(referrer -> referrer
                .policy(ReferrerPolicyHeaderWriter.ReferrerPolicy
                    .STRICT_ORIGIN_WHEN_CROSS_ORIGIN))
            // Permissions-Policy
            .permissionsPolicy(permissions -> permissions
                .policy("camera=(), microphone=(), geolocation=()"))
        )
        .build();
}

server {
    listen 443 ssl http2;
    server_name app.example.com;

    # HSTS
    add_header Strict-Transport-Security 
        "max-age=31536000; includeSubDomains; preload" always;

    # CSP
    add_header Content-Security-Policy 
        "default-src 'self'; script-src 'self'; frame-ancestors 'none'" always;

    # MIME Sniffing 방지
    add_header X-Content-Type-Options "nosniff" always;

    # Clickjacking 방지
    add_header X-Frame-Options "DENY" always;

    # Referrer 제어
    add_header Referrer-Policy "strict-origin-when-cross-origin" always;

    # 권한 제어
    add_header Permissions-Policy 
        "camera=(), microphone=(), geolocation=()" always;

    # ⚠️ 'always' 키워드: 에러 응답(4xx, 5xx)에도 헤더 포함
}

프론트엔드: https://app.example.com (React)
백엔드:     https://api.example.com (Spring Boot)
인증:       JWT를 Authorization 헤더로 전송

@Bean
SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
    return http
        // CORS: SPA Origin 허용
        .cors(cors -> cors.configurationSource(corsConfig()))
        // CSRF: JWT가 Authorization 헤더 기반이므로 비활성화
        .csrf(csrf -> csrf.disable())
        // 보안 헤더
        .headers(headers -> headers
            .httpStrictTransportSecurity(hsts -> hsts
                .includeSubDomains(true).maxAgeInSeconds(31536000))
            .contentTypeOptions(Customizer.withDefaults())
            .frameOptions(frame -> frame.deny()))
        // Stateless 세션
        .sessionManagement(session -> session
            .sessionCreationPolicy(SessionCreationPolicy.STATELESS))
        .build();
}

서버: https://app.example.com (Spring MVC + Thymeleaf)
인증: 세션 쿠키 (JSESSIONID)

@Bean
SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
    return http
        // CORS: 같은 Origin이므로 불필요
        // CSRF: 세션 기반 → 반드시 활성화
        .csrf(csrf -> csrf
            .csrfTokenRepository(new HttpSessionCsrfTokenRepository()))
        // SameSite 쿠키 추가 방어
        // (application.yml: server.servlet.session.cookie.same-site=lax)
        .headers(headers -> headers
            .httpStrictTransportSecurity(hsts -> hsts
                .includeSubDomains(true).maxAgeInSeconds(31536000))
            .contentSecurityPolicy(csp -> csp
                .policyDirectives("default-src 'self'; frame-ancestors 'none'"))
            .frameOptions(frame -> frame.deny()))
        .build();
}

// ⚠️ JWT를 HttpOnly 쿠키에 저장하면 CSRF 방어 필요!
@Bean
SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
    return http
        .cors(cors -> cors.configurationSource(corsConfig()))
        // CSRF 활성화 (쿠키 기반 인증이므로)
        .csrf(csrf -> csrf
            .csrfTokenRepository(CookieCsrfTokenRepository.withHttpOnlyFalse())
            .csrfTokenRequestHandler(new SpaCsrfTokenRequestHandler()))
        .headers(headers -> headers
            .httpStrictTransportSecurity(hsts -> hsts
                .includeSubDomains(true).maxAgeInSeconds(31536000))
            .frameOptions(frame -> frame.deny()))
        .build();
}

# GitHub Actions에서 보안 헤더 점검
- name: Check security headers
  run: |
    HEADERS=$(curl -sI https://app.example.com)
    echo "$HEADERS" | grep -qi "strict-transport-security" || (echo "HSTS missing" && exit 1)
    echo "$HEADERS" | grep -qi "x-content-type-options" || (echo "X-CTO missing" && exit 1)
    echo "$HEADERS" | grep -qi "content-security-policy" || (echo "CSP missing" && exit 1)