보안

본 문서는 프론트엔드가 책임지는 보안 범위와 그 한계를 정의합니다.

1. 프론트엔드가 책임지는 범위

2. 인증 토큰

2.1 소유 위치

토큰의 보관과 조회는 shared/auth/가 단독으로 소유합니다. 다른 계층이 저장소에 직접 접근하는 것을 금지합니다.

shared/auth/
├── session.ts
├── auth-interceptor.ts
├── auth-guard.ts
└── index.ts

entities/user를 만들지 않습니다. 토큰과 로그인 응답은 인증 맥락 전용이며 도메인 모델로 재사용되지 않습니다. entities는 거의 모든 계층이 임포트할 수 있는 위치이므로 인증 세부를 두면 변경 파급이 넓어집니다.

2.2 보관 위치

액세스 토큰은 메모리를 기본으로 합니다. 새로고침 시 유지가 필요하면 sessionStorage를 사용하고, 그 경우 XSS 발생 시 탈취된다는 점을 인지합니다.

리프레시 토큰을 localStorage에 두는 것을 금지합니다. 탈취되면 만료가 사실상 무의미해집니다.

백엔드가 httpOnly 쿠키 방식을 지원하면 그쪽을 우선합니다. 이는 백엔드 협의 사항이며 본 표준이 강제하지 않습니다.

2.3 전송

토큰 부착은 HTTP 인터셉터가 단독으로 수행합니다. 개별 요청 함수가 헤더를 직접 조립하는 것을 금지합니다.

// shared/auth/auth-interceptor.ts
export const authInterceptor: HttpInterceptorFn = (req, next) => {
  const token = inject(SessionStore).accessToken();
  if (!token) return next(req);
  return next(req.clone({ setHeaders: { Authorization: `Bearer ${token}` } }));
};

외부 도메인 요청에는 토큰을 부착하지 않습니다. 인터셉터가 요청 URL을 확인해 자사 API에만 부착합니다. 확인하지 않으면 서드파티 요청에 토큰이 새어 나갑니다.

2.4 만료 처리

401 응답을 받으면 세션을 정리하고 로그인 화면으로 이동합니다. 처리 위치는 인터셉터이며, 개별 화면이 401을 각자 처리하는 것을 금지합니다.

리프레시 토큰으로 재발급하는 경우, 동시에 발생한 여러 401이 각각 재발급을 시도하지 않도록 진행 중인 재발급을 공유합니다.

3. XSS

3.1 Angular의 기본 방어

Angular는 템플릿 보간({{ }})과 속성 바인딩에서 값을 자동으로 이스케이프합니다. 이 방어를 우회하지 않는 것이 첫 번째 규칙입니다.

서식 있는 텍스트를 표시해야 하면 마크다운 등 제한된 형식을 파싱해 컴포넌트로 렌더링합니다. HTML 문자열을 주입하지 않습니다.

bypassSecurityTrust*가 불가피한 경우 ADR로 사유와 적용 범위를 기록합니다. 현재 승인된 예외는 ADR-0013의 빌드 시점 생성 문서 HTML 하나입니다.

예외를 판정하는 기준은 입력이 런타임에 외부에서 오는가입니다. 위 금지의 근거가 "서버가 신뢰 가능해도 서버가 받은 값은 사용자 입력"이므로, 저장소에 커밋된 원본을 빌드 시점에 변환한 결과에는 그 근거가 적용되지 않습니다. 반대로 요청 파라미터나 서버 응답이 그 문자열에 한 번이라도 결합되면 예외 조건을 잃습니다.

3.2 URL

사용자 입력이나 서버 값을 href·src에 바인딩할 때 javascript: 스킴을 차단합니다. Angular가 [href] 바인딩에서 일부를 정리하지만, 동적으로 조립한 URL은 스킴을 직접 검증합니다.

외부 링크에는 rel="noopener noreferrer"를 부여합니다. noopener가 없으면 새 창이 window.opener로 원본 창을 조작할 수 있습니다.

4. 콘텐츠 보안 정책 (CSP)

CSP 헤더는 서버 또는 호스팅 설정이 소유하므로 프론트엔드 저장소의 범위 밖입니다. 다만 다음을 코드 수준에서 지켜 CSP 적용을 방해하지 않습니다.

5. 민감정보 노출

환경 변수에 넣어도 번들에 포함되면 공개입니다. 프론트엔드에 비밀값을 둘 수 있는 자리는 없습니다.

6. 라우트 가드

가드는 경험 장치이며 보안 장치가 아닙니다. 상세 규칙은 라우팅과 네비게이션 4절에 있습니다.

가드가 있으니 서버 검증이 느슨해도 된다는 판단을 금지합니다. 가드는 우회 가능하며, 우회한 요청은 서버에 그대로 도달합니다.

권한에 따라 UI 요소를 숨기는 것도 같습니다. 숨긴 버튼의 동작은 여전히 API 호출이며, 사용자는 그 호출을 직접 만들 수 있습니다.

7. 의존성

shared/ui에 복사해 온 Spartan helm 소스는 우리 코드이므로 우리가 취약점 책임을 집니다. brain은 의존성이므로 갱신 대상입니다.

8. 금지 사항 요약