배포한 순간부터 공격 표면은 시작된다. 2025년 XSS·CSRF·Clickjacking의 최신 양상, CSP·Trusted Types로 DOM-based XSS 원천 봉쇄, JWT·OAuth·PKCE·Passkey 인증 전략, npm Supply Chain 공격 방어, SRI·Report-Only부터 CVE 대응까지 프런트엔드 보안의 실전 가이드.
매일 쓰는 HTTP지만 PUT vs PATCH를 정확히 구분하는 개발자는 드물다. 302/303/307/308 리디렉션 4형제의 차이, SameSite=Lax가 바꾼 크로스사이트 세상, CORS preflight의 진짜 비용, CSP nonce/hash/strict-dynamic 선택 기준, HSTS preload의 위험, Cookie의 Partitioned/CHIPS, 그리고 Referrer-Policy가 개인정보를 어떻게 새게 하는지 — HTTP 프로토콜의 모든 세맨틱을 10,000자로 정리합니다.
SolarWinds, Log4Shell, MOVEit, XZ Utils 백도어 — 2020년대 보안 사건은 "경계 방어"의 종말을 알렸다. 2024-2025년 Passkeys가 패스워드를 대체하고, mTLS + SPIFFE가 서비스 ID 표준이 되며, Zero Trust Architecture가 NIST 공식 문서로 주류화됐다. OWASP Top 10부터 JWT 탈출 논쟁, WebAuthn, Vault, SIEM까지 — 현대 웹 보안의 전 지형도를 정리한다.
이전 Security 글이 '조직의 보안'이었다면 이 글은 '코드에 박힌 취약점'이다. XSS 3종과 CSP nonce·Trusted Types, SameSite 이후의 CSRF, Capital One을 무너뜨린 SSRF, Clickjacking 프레이밍 공격, Node의 고질병 Prototype Pollution, event-stream/xz-utils 공급망 공격, CORS의 흔한 오해, Bot/Rate Limit까지. 개발자가 매일 마주치는 위협을 하나씩 부순다.