배포한 순간부터 공격 표면은 시작된다. 2025년 XSS·CSRF·Clickjacking의 최신 양상, CSP·Trusted Types로 DOM-based XSS 원천 봉쇄, JWT·OAuth·PKCE·Passkey 인증 전략, npm Supply Chain 공격 방어, SRI·Report-Only부터 CVE 대응까지 프런트엔드 보안의 실전 가이드.
보안은 "누군가 전담"하면 되는 분야가 아니다. 2025년의 모든 엔지니어는 Zero Trust 사고방식, OAuth 2.1·OIDC·PKCE 흐름, Secret 관리(Vault/SOPS/KMS), SBOM과 Supply Chain 공격 방어, Container·K8s 보안, 그리고 LLM 시대의 OWASP Top 10(Prompt Injection·Data Poisoning 등)까지 이해해야 한다. 이 글은 보안이 "코드 리뷰에서 막는 것"임을 설명하는 한 편. Season 2의 열 번째.
이전 Security 글이 '조직의 보안'이었다면 이 글은 '코드에 박힌 취약점'이다. XSS 3종과 CSP nonce·Trusted Types, SameSite 이후의 CSRF, Capital One을 무너뜨린 SSRF, Clickjacking 프레이밍 공격, Node의 고질병 Prototype Pollution, event-stream/xz-utils 공급망 공격, CORS의 흔한 오해, Bot/Rate Limit까지. 개발자가 매일 마주치는 위협을 하나씩 부순다.
컨테이너 보안의 모든 것! 이미지 스캐닝(Trivy/Grype/Snyk), 이미지 서명(Sigstore/cosign), SBOM(CycloneDX/SPDX), 런타임 보안(Falco/Tetragon), Pod Security Standards, Network Policy, Seccomp/AppArmor, 공급망 보안(SLSA).
2026년 2월 미국-이란 전쟁 발발. 유가 126달러 급등, 호르무즈 해협 봉쇄로 글로벌 석유 20% 차단, 헬륨 가격 2배 급등으로 반도체 공급망 위기, SK하이닉스+삼성 시총 2000억 달러 증발, 사이버 공격 700% 폭증 — 개발자가 반드시 알아야 할 지정학 리스크 총정리.
2026년 3월 최신 사이버보안 위협 분석. Microsoft 84개 취약점 패치, Google 129개 Android 취약점, Cisco SD-WAN 인증 우회(CVSS 10.0), VS Code 확장 공급망 공격 GlassWorm 캠페인 등 개발자가 알아야 할 내용과 대응 전략을 다룹니다.
2026년 3월 GlassWorm 악성코드가 72개 이상의 VS Code 확장을 감염시킨 공급망 공격을 기술적으로 분석한다. 유니코드 변이 선택자 기반 은닉, Solana 블록체인 C2 채널, 자가 전파 메커니즘을 코드 레벨에서 해부하고, 탐지 도구 비교와 조직 차원의 보안 전략을 제시한다.