https://team-edo.github.io/tags/%EC%BF%A0%ED%82%A4/Recent content in 쿠키 on 얼쑤 · Team EdoHugoko-krThu, 29 Oct 2026 00:00:00 +0900https://team-edo.github.io/posts/2026/10/layer-cookie-csrf-request-checks/Thu, 29 Oct 2026 00:00:00 +0900https://team-edo.github.io/posts/2026/10/layer-cookie-csrf-request-checks/<p>서비스에서는 브라우저와 네이티브 앱이 로그인 쿠키를 사용했습니다. 브라우저는 조건이 맞으면 쿠키를 요청에 자동으로 실으므로, 다른 페이지에서 시작된 요청도 상태를 바꿀 수 있는지 확인해야 했습니다. 팀에서 쿠키에 <code>SameSite=Lax</code>를 적용하고, 상태를 바꾸는 메서드에 출처와 본문 검사를 추가했습니다.</p> <h2 id="쿠키와-요청-필터가-각각-보는-것">쿠키와 요청 필터의 역할</h2> <p><code>Lax</code> 쿠키는 다른 사이트의 일반적인 POST에 실리지 않습니다. 다른 사이트에서 들어오는 최상위 GET 이동에는 실릴 수 있고, 호스트가 달라도 브라우저에서 같은 사이트로 분류될 수 있습니다. 상태 변경 API는 POST·PUT·PATCH·DELETE를 사용하고, 필터는 <code>Origin</code>이 있는 요청에 대해 허용한 출처 또는 서비스의 호스트 규칙을 검사합니다. 네이티브 앱처럼 헤더가 없는 경우에는 본문과 인증 검사로 이어집니다. <a href="https://httpwg.org/http-extensions/draft-ietf-httpbis-rfc6265bis.html">HTTP Working Group의 SameSite 사양 초안</a></p>