#OWASP A07

로그인 후 세션 ID를 새로 발급하지 않으면 공격자가 미리 심어둔 ID로 사용자 세션을 탈취한다. Django/Express 표준 세션 재발급 코드와 4가지 실수를 정리했다.

PKCE 없는 OAuth 2.0 모바일 흐름은 인증 코드 가로채기로 토큰을 탈취당한다. RFC 7636 표준 코드 검증기 구현과 5가지 실수 패턴, 30초 자가진단을 정리했다.

Webhook 엔드포인트의 60% 이상이 서명 검증을 생략하거나 잘못 구현한다. 결제 위조, CI 파이프라인 탈취, 알림 스푸핑이 한 줄의 검증 누락으로 가능해진다. HMAC-SHA256 검증 표준 코드와 5가지 …

내 사이트에도 이 문제가 있을까?