보안 코딩 가이드라인

프론트엔드

XSS 방지

• dangerouslySetInnerHTML 사용 금지. 불가피하면 DOMPurify로 sanitize 후 사용
• 사용자 입력을 innerHTML로 직접 삽입하지 않는다
• URL 파라미터를 그대로 렌더링하지 않는다 — 반드시 이스케이프/검증 후 사용

민감 정보 노출 방지

• API 키, 시크릿을 클라이언트 번들에 포함하지 않는다
• NEXT_PUBLIC_ 접두사가 붙은 환경변수에 민감 정보를 넣지 않는다
• 서버 전용 값은 Server Component 또는 API Route에서만 접근한다

CSRF 방어