7/20 · 실습·개념 참고 화면 5

쿠키가 동반된 상태 변경 요청을 패킷에서 읽기

정상 로그인 상태가 사용자의 변경 의도를 증명하지 않는다는 점을 실제 요청 구조로 설명한다.

1. 상태 변경을 유발하는 입력 위치를 찾는다사진의 폼은 게시 메시지 안에 다른 기능을 향하는 링크를 넣은 사례다. 메시지 저장과 링크 목적지의 상태 변경은 서로 다른 요청이다.
2. 자동으로 붙는 인증 자료를 확인한다다음 캡처에는 변경 기능을 향한 GET과 Cookie가 함께 보인다. 브라우저가 인증 자료를 첨부해도 사용자가 그 변경을 의도했다고 증명할 수는 없다.
3. 의도 검증 실패가 변경 전에 끝나는지 시험한다정상 토큰·누락 토큰·다른 세션 토큰으로 요청을 구분한다. 토큰 검증 실패는 실제 변경 코드가 실행되기 전에 거부돼야 한다.