회원가입시 이메일 인증 보안 이슈 (api endpoint 관련)

내가 작성했던 부분은 아니었는데, 리뷰받다 생각지 못했던 부분이라 기록해둔다.

문제상황 ->

우리가 구상한 회원 가입할 때의 이메일 인증방법은

이메일로 인증하기 시도 -> 사용자의 이메일로 우리의 로고 이미지를 클릭하라는 메세지 -> 클릭시 우리의 페이지로 이동되면서 로그인 인증이 됨

이 플로우였는데, 여기서 보안 이슈

 

 

이메일(외부) 에서 이미지를 클릭했을 때 우리의 api를 호출하는 방법 자체가 api endpoint를 탈취할 수 있기 때문에 문제가 된다
api endpoint가 노출된다면 해커가 원하는 이메일로 토큰을 생성받아서 해당 이메일로 회원가입이 가능하다.

 

 

해결방법 ->

이메일로 받은 인증 코드를 확인해서 사용자에게 인증 코드를 우리 사이트에 입력하라고 하면 된다. 외부에서 접근하는 게 문제