<div id="readability-page-1" class="page"><div role="banner"> <div> <h4>01 Aug 2023</h4> Reading time ~1 minute  </div> <h2 id="whitelist-옵션-사용시-주의점"><code>whitelist</code> 옵션 사용시 주의점!</h2> <h2 id="프로퍼티-제거하기"><a href="https://docs.nestjs.com/techniques/validation#stripping-properties">프로퍼티 제거하기</a></h2> 또한, 유효성 검사 파이프는 메서드 핸들러가 수신해서는 안 되는 프로퍼티를 필터링할 수 있습니다. 이 경우 허용 가능한 속성을 화이트리스트에 추가할 수 있으며, 화이트리스트에 포함되지 않은 속성은 결과 객체에서 자동으로 제거됩니다. 예를 들어, 처리기에서 이메일 및 비밀번호 속성을 기대하지만 요청에 나이 속성도 포함된 경우 이 속성은 결과 DTO에서 자동으로 제거될 수 있습니다. 이러한 동작을 사용하려면 화이트리스트를 true로 설정하세요. <div><pre><code>app.useGlobalPipes(
 new ValidationPipe({
 whitelist: true,
 }),
);
</code></pre></div> <h2 id="적용-실패-원인-분석">적용 실패 원인 분석</h2> <a href="https://docs.nestjs.com/techniques/validation#stripping-properties">프로퍼티 제거하기</a>를 보고 <code>whitelist</code>를 추가 했더니, <code>빈 객체</code>가 넘어오는 문제가 발생했습니다. 아래는 빈 객체가 넘어온 class 코드 입니다. <div><pre><code>// DTO
export class UserDto {
 id: number;
 username: string;
}

// Controller
 @ApiOperation({ summary: '사용자 정보' })
 @ApiResponse({ status: 201, type: TodoVo })
 @Post()
 save(@AuthUser() userVo: UserVO, @Body() userDto: UserDto) {
 return this.service.save(UserDto, userVo.seq);
 }
</code></pre></div> 원인으로 <code>DTO</code>에 <code>검증 규칙이 정의 되지 않아서 발생</code>한 문제였습니다. 아래와 같이 DTO에 검증 규칙을 추가하면 객체에 값이 할당되어 넘어오게 됩니다. <div><pre><code>export class UserDto {
 @IsNumber()
 id: number;
 @IsString()
 username: string;
}
</code></pre></div> <code>whitelist</code> 옵션은 검증되지 않는 값(검증 규칙이 없는)을 제외 처리 하는 옵션으로 <code>보안상 처리를 위해서 사용하는 것을 권고</code> 합니다. 사용한 전체 코드는 <a href="https://github.com/lahuman/daily-quest">daily-quest</a>에서 확인 가능합니다. <h2 id="참고-자료">참고 자료</h2> <ul> <li><a href="https://docs.nestjs.com/techniques/validation#stripping-properties">프로퍼티 제거하기</a></li> </ul> </div></div>

lahuman

Daniel Lim

whitelist 옵션 사용시 주의점!
프로퍼티 제거하기
또한, 유효성 검사 파이프는 메서드 핸들러가 수신해서는 안 되는 프로퍼티를 필터링할 수 있습니다. 이 경우 허용 가능한 속성을 화이트리스트에 추가할 수 있으며, 화이트리스트에 포함되지 않은 속성은 결과 객체에서 자동으로 제거됩니다. 예를 들어, 처리기에서 이메일 및 비밀번호 속성을 기대하지만 요청에 나이 속성도 포함된 경우 이 속성은 결과 DTO에서 자동으로 제거될 수 있습니다. 이러한 동작을 사용하려면 화이트리스트를 true로 설정하세요.
app.useGlobalPipes(
  new ValidationPipe({
    whitelist: true,
  }),
);
적용 실패 원인 분석
프로퍼티 제거하기를 보고 whitelist를 추가 했더니, 빈 객체가 넘어오는 문제가 발생했습니다.
아래는 빈 객체가 넘어온 class 코드 입니다.
// DTO
export class UserDto {
  id: number;
  username: string;
}
// Controller
  @ApiOperation({ summary: '사용자 정보' })
  @ApiResponse({ status: 201, type: TodoVo })
  @Post()
  save(@AuthUser() userVo: UserVO, @Body() userDto: UserDto) {
    return this.service.save(UserDto, userVo.seq);
  }
원인으로 DTO에 검증 규칙이 정의 되지 않아서 발생한 문제였습니다.
아래와 같이 DTO에 검증 규칙을 추가하면 객체에 값이 할당되어 넘어오게 됩니다.
export class UserDto {
  @IsNumber()
  id: number;
  @IsString()
  username: string;
}
whitelist 옵션은 검증되지 않는 값(검증 규칙이 없는)을 제외 처리 하는 옵션으로 보안상 처리를 위해서 사용하는 것을 권고 합니다.
사용한 전체 코드는 daily-quest에서 확인 가능합니다.
참고 자료
프로퍼티 제거하기

[Nestjs TIP] whitelist 사용시 주의점!

댓글