Java 보안 필수 가이드, SQL Injection과 XSS를 막는 입력 검증 방법

🔗 Java 보안에서 입력 검증의 중요성

Java 애플리케이션에서 입력 검증은 모든 보안의 출발점입니다.
사용자가 입력하는 값은 절대 신뢰해서는 안 되며, 반드시 유효성 검사와 정규화 과정을 거쳐야 합니다.
그 이유는 웹 애플리케이션의 상당수 취약점이 ‘검증되지 않은 입력’에서 비롯되기 때문입니다.
예를 들어 SQL Injection과 XSS 공격은 모두 입력값을 악용하는 방식으로 이루어집니다.

입력 검증의 기본 원칙은 화이트리스트(허용 목록) 기반 검증입니다.
즉, 허용된 패턴과 값만 받아들이고 그 외의 값은 차단하는 방식입니다.
이러한 접근법은 블랙리스트 기반 차단보다 안전성이 높습니다.
또한 데이터 타입, 길이, 형식 등을 체크하여 애플리케이션의 예상 범위를 벗어나는 입력을 방지해야 합니다.

💡 입력 검증 실패 시 발생할 수 있는 위험

입력 검증을 소홀히 하면 공격자는 SQL 쿼리를 변조하거나, 자바스크립트를 삽입하여 사용자의 브라우저에서 악성 동작을 실행할 수 있습니다.
이로 인해 데이터베이스의 민감 정보가 유출되거나, 관리자 권한이 탈취될 수 있습니다.
심각한 경우 전체 서버가 해킹당할 수도 있습니다.

🛠️ SQL Injection 공격 원리와 방지 방법

SQL Injection은 사용자가 입력한 데이터를 SQL 쿼리에 삽입하여 데이터베이스를 조작하는 공격입니다.
공격자는 로그인 우회, 데이터 조회 및 수정, 심지어 데이터베이스 삭제까지 가능하게 만들 수 있습니다.
Java 기반 웹 애플리케이션에서 JDBC를 사용할 때, 입력값을 직접 문자열 결합 방식으로 SQL 쿼리에 넣으면 이 공격에 취약해집니다.

예를 들어 아래와 같은 코드가 있습니다.

String query = "SELECT * FROM users WHERE username = '" + userInput + "'";
Statement stmt = connection.createStatement();
ResultSet rs = stmt.executeQuery(query);

만약 사용자가 ‘ OR ‘1’=’1 같은 값을 입력하면, 쿼리는 항상 참이 되어 모든 데이터가 노출됩니다.

✅ 안전한 SQL 작성 방법

SQL Injection을 방지하려면 반드시 PreparedStatement나 ORM을 사용해야 합니다.
PreparedStatement는 SQL과 파라미터를 분리하여 실행하기 때문에, 입력값이 쿼리 구조에 영향을 줄 수 없습니다.

String query = "SELECT * FROM users WHERE username = ?";
PreparedStatement pstmt = connection.prepareStatement(query);
pstmt.setString(1, userInput);
ResultSet rs = pstmt.executeQuery();

⚙️ XSS 공격 유형과 예방 기술

XSS(Cross-Site Scripting)는 공격자가 웹 페이지에 악성 스크립트를 삽입하여 사용자의 브라우저에서 실행시키는 공격입니다.
이 공격을 통해 세션 쿠키 탈취, 키로깅, 피싱 페이지 유도 등 다양한 피해가 발생할 수 있습니다.
Java 기반 웹 애플리케이션에서도 JSP, Thymeleaf, FreeMarker 같은 템플릿 엔진에서 출력 시 적절한 이스케이프 처리가 없으면 쉽게 노출됩니다.

📌 대표적인 XSS 유형

• 💥Stored XSS: 악성 스크립트를 서버 DB에 저장하여 다수 사용자에게 전달
• ⚡Reflected XSS: URL 파라미터 등에 포함된 스크립트를 즉시 반사 출력
• 🌀DOM-based XSS: 클라이언트 측 자바스크립트 로직에서 발생

✅ 예방 방법

XSS를 예방하려면 가장 먼저 모든 사용자 입력을 HTML 이스케이프 처리해야 합니다.
Java에서는 Apache Commons Text의 StringEscapeUtils.escapeHtml4()나 Spring Framework의 HTML 이스케이프 기능을 사용할 수 있습니다.
템플릿 엔진에서도 기본 제공하는 자동 이스케이프 기능을 활성화하는 것이 좋습니다.

<%= org.apache.commons.text.StringEscapeUtils.escapeHtml4(userInput) %>

🔌 안전한 입력 검증 구현 방법

입력 검증은 데이터 수신 시점부터 저장, 출력까지 전 구간에서 일관되게 적용되어야 합니다.
특히 Java 환경에서는 허용 목록(allowlist) 기반의 검증, 표준화/정규화(normalization), 컨텍스트별 인코딩, 서버 측 재검증이 핵심 원칙입니다.
아래 가이드를 따르면 SQL injection과 XSS를 포함한 다수의 입력 기반 공격 면을 선제적으로 줄일 수 있습니다.

✅ 허용 목록 우선: 형식, 길이, 범위 제한

허용되는 문자와 패턴을 명시하고 그 외는 거부합니다.
예를 들어 사용자 이름은 영문 소문자와 숫자, 밑줄만 허용하고 길이를 3~20자로 제한합니다.
숫자, 날짜, 이메일 등은 타입 변환 시 예외 처리를 함께 적용합니다.

// 간단한 허용 목록 예시 (Java)
private static final Pattern USERNAME = Pattern.compile("^[a-z0-9_]{3,20}$");

public static boolean isValidUsername(String s) {
    return s != null && USERNAME.matcher(s).matches();
}

🧩 Jakarta Bean Validation으로 일관성 확보

Jakarta Bean Validation(JSR 380 계열)을 활용하면 DTO 계층에서 형식과 제약을 선언적으로 관리할 수 있습니다.
Spring MVC와 함께 사용하면 컨트롤러 진입 전 자동 검증이 가능해 로직 단순화와 보안성을 동시에 확보합니다.

public class SignUpRequest {
    @NotNull @Pattern(regexp = "^[a-z0-9_]{3,20}$")
    private String username;

    @NotNull @Email @Size(max = 120)
    private String email;

    @NotNull @Size(min = 8, max = 72)
    private String password;
}

// Controller
@PostMapping("/signup")
public ResponseEntity<?> signup(@Valid @RequestBody SignUpRequest req) {
    // 유효성 통과된 데이터만 도달
    return ResponseEntity.ok().build();
}

🧹 표준화/정규화와 위험 문자 제거

입력 전후 공백 제거(trim), 유니코드 정규화(NFC 등), 중복 구분자 축소, 제어문자 제거는 필수입니다.
파일명, 경로, URL, 헤더 값 등은 인코딩과 디코딩 과정에서 이중 인코딩이 발생하지 않도록 주의하고, 저장 전에 한 번 더 정규화합니다.

💬 정규화는 “보이기엔 같은 값”을 내부적으로도 같은 값으로 맞추어, 우회 입력을 막는 데 효과적입니다.

📌 중앙 집중 검증 유틸과 재사용

컨트롤러 곳곳에서 검증 로직을 흩뿌리지 말고, 공용 Validator/Converter 계층으로 모읍니다.
로그와 모니터링을 이 계층에서 집계하면 비정상 입력 탐지에 유리합니다.

🧪 정규식 남용 주의와 테스트 전략

정규식은 강력하지만 과도하거나 잘못된 패턴은 성능 저하(ReDoS)나 오탐/미탐을 유발합니다.
단순한 허용 목록 패턴을 우선 적용하고, 경계 케이스(공백, 이모지, 한글 조합, 이중 인코딩)를 포함한 테스트 케이스를 CI에 추가하세요.

• 🛠️허용 목록 기반 정규식과 길이 제한을 우선 적용
• ⚙️DTO에 Bean Validation 어노테이션 선언, 컨트롤러에서 @Valid 사용
• 🔌서비스/리포지토리 계층에서는 PreparedStatement 또는 ORM 매개변수 바인딩
• 🧰유니코드 정규화, 공백/제어문자 제거 등 전처리 수행
• 🧪경계 케이스 포함 입력 검증 테스트를 CI 파이프라인에 통합

💡 보안 강화를 위한 추가 전략

SQL Injection과 XSS를 막기 위한 기본적인 입력 검증 외에도, Java 애플리케이션의 전반적인 보안 수준을 높이기 위해 적용할 수 있는 추가 전략들이 있습니다.
이 전략들은 공격 면을 줄이는 동시에, 보안 사고 발생 시 피해를 최소화하는 데 초점을 맞춥니다.

🔒 최소 권한 원칙(Principle of Least Privilege)

애플리케이션이 접근할 수 있는 데이터베이스 계정과 권한을 최소화합니다.
읽기 전용 작업에는 읽기 전용 계정을, 쓰기 작업에는 제한된 쓰기 권한 계정을 사용합니다.
이는 계정 탈취 시 피해 범위를 제한하는 핵심 전략입니다.

🛡️ 출력 인코딩과 CSP(Content Security Policy)

XSS를 방어하기 위해 HTML, JavaScript, CSS 등 각 컨텍스트에 맞는 인코딩을 적용해야 합니다.
추가로 Content-Security-Policy 헤더를 설정하면, 브라우저에서 허용되지 않은 스크립트의 실행을 차단할 수 있습니다.

📜 로깅과 모니터링

보안 이벤트를 탐지하고 대응하려면, 입력 검증 실패, 로그인 실패, 비정상적인 쿼리 실행 등 주요 이벤트를 로깅해야 합니다.
또한 실시간 모니터링과 알림 시스템을 구축해 공격 징후를 조기에 발견할 수 있어야 합니다.

🧪 보안 테스트와 코드 리뷰

정기적으로 보안 취약점 스캐너, 모의 해킹, 코드 리뷰를 통해 애플리케이션을 점검합니다.
OWASP Top 10 취약점 항목을 기준으로 점검하면 효율적으로 위험을 관리할 수 있습니다.

• 🔍정기적 보안 스캔과 취약점 패치
• 🛠️코드 리뷰 시 입력 검증, 출력 인코딩 로직 우선 점검
• 📈모니터링 시스템의 경고 로그 분석

💬 보안은 한 번 설정하고 끝나는 작업이 아니라, 지속적으로 개선하고 점검해야 하는 과정입니다.

❓ 자주 묻는 질문 (FAQ)