<div id="readability-page-1" class="page"><article id="mainContent">
                <div>
                  <p><a href="/m/category/BACKEND"><span>BACKEND</span></a></p><h3>[nestjs] whitelist 로 파라메터를 안전하게 사용하기</h3>
                </div>
                <p><cite>나를찾는아이</cite>
                  <span> 2022. 9. 19. 13:23</span>
                </p>
                
            
                <div>
                                <p data-ke-size="size16">nestjs의 dto는 우리가 별다른 노력을 들이지 않아도 입력값을 자동으로 dto 클래스에 매핑을 하여</p>

<p data-ke-size="size16">손쉽게 사용할수 있도록 도와줍니다</p>

<pre id="code_1662779561067" data-ke-language="typescript" data-ke-type="codeblock"><code>export class CreateUserDto {
  username: string;
  password: string;
  email: string;
  role: string;
}</code></pre>

<p data-ke-size="size16">이러한 dto 클래스를 선언했다고 생각해봅니다</p>

<p data-ke-size="size16">유저 생성시에 post body를 통해 위에 선언된 같은 이름의 변수들을 받아서&nbsp; 매핑을 합니다</p>

<p data-ke-size="size16">그런데 만약 post body로 class에 선언되지 않은 파라메터들이 추가로 오는 경우 어떻게 될까요?</p>


<pre id="code_1662779785473" data-ke-language="javascript" data-ke-type="codeblock"><code>{
    "username": "hello",
    "phone": "01011112222"
}</code></pre>

<p data-ke-size="size16">이렇게 post body에 phone이라는 정의되지 않은 필드를 전달합니다</p>

<p data-ke-size="size16">그리고 controller내에서 실제 전달받은 createUserDto를 바로 콘솔상에서 출력을 해보면</p>

<pre id="code_1662779678050" data-ke-language="javascript" data-ke-type="codeblock"><code>CreateUserDto { username: 'hello', phone: '01011112222' }</code></pre>

<p data-ke-size="size16">이렇게 phone값이 인스턴스내에 저장되어있는것을 알수 있습니다</p>

<p data-ke-size="size16">하지만 클래스 선언에 phone을 선언하지 않았기 때문에</p>

<p data-ke-size="size16">IDE상에서 타입힌트나 자동완성과같은 도움을 받을수는 없습니다</p>

<p data-ke-size="size16">하지만 분명 변수와 값은 존재합니다</p>



<p data-ke-size="size16">그렇기 때문에 dto를 바로 전달받아 그걸 그대로 리소스를 생성하는 경우 예상치 못한 보안 문제가 발생할수 있습니다</p>



<pre id="code_1662779951129" data-ke-language="javascript" data-ke-type="codeblock"><code>  app.useGlobalPipes(
    new ValidationPipe({
      transform: true,
      whitelist: true,
    }),
  );</code></pre>

<p data-ke-size="size16">이때 활용할수 있는 validationpipe의 whitelist 옵션이 있습니다</p>

<p data-ke-size="size16">이 옵션은 기본적으로는 off 상태인데 true로 전달하는 경우 활성화가 되어</p>

<p data-ke-size="size16">클래스에 선언된 변수들만 처리하고 그 외의 변수들은 버립니다</p>


<p data-ke-size="size16">상황에 맞춰 사용하시면 참 좋겠죠?</p>












            
            
                </div>
            

                
              </article></div>

나를 찾는 아이

Kyoung min, Kim

nestjs의 dto는 우리가 별다른 노력을 들이지 않아도 입력값을 자동으로 dto 클래스에 매핑을 하여
 
손쉽게 사용할수 있도록 도와줍니다
 
export class CreateUserDto {
  username: string;
  password: string;
  email: string;
  role: string;
}
 
이러한 dto 클래스를 선언했다고 생각해봅니다
 
유저 생성시에 post body를 통해 위에 선언된 같은 이름의 변수들을 받아서  매핑을 합니다
 
그런데 만약 post body로 class에 선언되지 않은 파라메터들이 추가로 오는 경우 어떻게 될까요?
 
 
{
    "username": "hello",
    "phone": "01011112222"
}
 
이렇게 post body에 phone이라는 정의되지 않은 필드를 전달합니다
 
그리고 controller내에서 실제 전달받은 createUserDto를 바로 콘솔상에서 출력을 해보면
 
CreateUserDto { username: 'hello', phone: '01011112222' }
 
이렇게 phone값이 인스턴스내에 저장되어있는것을 알수 있습니다
 
하지만 클래스 선언에 phone을 선언하지 않았기 때문에
 
IDE상에서 타입힌트나 자동완성과같은 도움을 받을수는 없습니다
 
하지만 분명 변수와 값은 존재합니다
 
 
 
그렇기 때문에 dto를 바로 전달받아 그걸 그대로 리소스를 생성하는 경우 예상치 못한 보안 문제가 발생할수 있습니다
 
 
 
  app.useGlobalPipes(
    new ValidationPipe({
      transform: true,
      whitelist: true,
    }),
  );
 
이때 활용할수 있는 validationpipe의 whitelist 옵션이 있습니다
 
이 옵션은 기본적으로는 off 상태인데 true로 전달하는 경우 활성화가 되어
 
클래스에 선언된 변수들만 처리하고 그 외의 변수들은 버립니다
 
 
상황에 맞춰 사용하시면 참 좋겠죠?

[nestjs] whitelist 로 파라메터를 안전하게 사용하기

댓글