[Spring] 정적 파일 로드시 URL에 jsessionid가 붙는 경우 해결

개요

보안팀으로부터 back office 프로그램에 대한 동적 테스트를 진행해달라는 요청사항을 받아 테스트를 진행하던중, 정적 파일 로드시 URL에 jsessionid가 붙어 XSS 공격으로부터 취약하다는 검진 결과가 나왔다.

 

해결 방법

톰캣, 즉 서버 입장에서는 웹 브라우저의 쿠키 지원 유무를 모르기 때문에 쿠키값도 전달하고 URL에 jsessionid도 함께 전달하는 것이 원인이었다. 따라서 서버쪽에서 URL 전달 방식은 비활성화하고 쿠키를 통해서만 세션을 유지하도록 설정을 해주면 더이상 URL에 jsessionid가 노출되지 않는다.

 

스프링 MVC를 사용할 경우

# web.xml
<session-config>
	<tracking-mode>COOKIE</tracking-mode>
</session-config>

 

스프링 부트를 사용할 경우

# application.properties
server.servlet.session.tracking-modes=cookie

# application.yml
server:
  servlet:
    session:
      tracking-modes: cookie