OWASP

# OWASP Dependency-Check - 의존성 취약점 검사
# 알려진 취약점(CVE)이 있는 라이브러리 탐지

# 1. CLI 설치 및 실행
# macOS
brew install dependency-check

# 프로젝트 스캔
dependency-check --project "MyProject" \
    --scan /path/to/project \
    --format HTML \
    --out dependency-check-report.html

# 2. Maven 플러그인 (pom.xml)
# <plugin>
#     <groupId>org.owasp</groupId>
#     <artifactId>dependency-check-maven</artifactId>
#     <version>8.4.0</version>
#     <executions>
#         <execution>
#             <goals>
#                 <goal>check</goal>
#             </goals>
#         </execution>
#     </executions>
#     <configuration>
#         <failBuildOnCVSS>7</failBuildOnCVSS>
#     </configuration>
# </plugin>
mvn dependency-check:check

# 3. Gradle 플러그인 (build.gradle)
# plugins {
#     id "org.owasp.dependencycheck" version "8.4.0"
# }
# dependencyCheck {
#     failBuildOnCVSS = 7
#     suppressionFile = "dependency-check-suppressions.xml"
# }
./gradlew dependencyCheckAnalyze

# 4. npm/yarn 프로젝트 (Node.js)
# npm audit 대안으로 더 정확한 검사
dependency-check --project "NodeApp" \
    --scan ./node_modules \
    --scan ./package-lock.json \
    --enableExperimental

# 5. GitHub Actions 통합
# - name: OWASP Dependency Check
#   uses: dependency-check/Dependency-Check_Action@main
#   with:
#     project: 'MyProject'
#     path: '.'
#     format: 'HTML'
#     args: '--failOnCVSS 7'

// OWASP Top 10 취약점 예방 코드 예제 (Node.js/Express)

const express = require('express');
const helmet = require('helmet');
const rateLimit = require('express-rate-limit');
const { body, validationResult } = require('express-validator');
const bcrypt = require('bcrypt');
const jwt = require('jsonwebtoken');

const app = express();

// A03:2021 - Injection 방지
// 1. 파라미터화된 쿼리 사용 (SQL Injection 방지)
const { Pool } = require('pg');
const pool = new Pool();

// 잘못된 예 (취약)
// const query = `SELECT * FROM users WHERE id = ${userId}`;

// 올바른 예 (안전)
async function getUserById(userId) {
    const result = await pool.query(
        'SELECT * FROM users WHERE id = $1',  // 파라미터화
        [userId]
    );
    return result.rows[0];
}

// A02:2021 - Cryptographic Failures 방지
// 2. 안전한 비밀번호 해싱
async function hashPassword(password) {
    const saltRounds = 12;  // 최소 10 이상 권장
    return await bcrypt.hash(password, saltRounds);
}

async function verifyPassword(password, hash) {
    return await bcrypt.compare(password, hash);
}

// A01:2021 - Broken Access Control 방지
// 3. 역할 기반 접근 제어
function authorize(requiredRole) {
    return (req, res, next) => {
        const userRole = req.user?.role;
        if (!userRole || !hasPermission(userRole, requiredRole)) {
            return res.status(403).json({ error: 'Forbidden' });
        }
        next();
    };
}

// A07:2021 - XSS 방지
// 4. Helmet으로 보안 헤더 설정
app.use(helmet({
    contentSecurityPolicy: {
        directives: {
            defaultSrc: ["'self'"],
            scriptSrc: ["'self'"],  // 인라인 스크립트 차단
            styleSrc: ["'self'", "'unsafe-inline'"],
            imgSrc: ["'self'", "data:", "https:"],
        },
    },
    xssFilter: true,
}));

// A04:2021 - Insecure Design 방지
// 5. Rate Limiting (무차별 대입 공격 방지)
const loginLimiter = rateLimit({
    windowMs: 15 * 60 * 1000,  // 15분
    max: 5,  // 최대 5번 시도
    message: { error: 'Too many login attempts. Try again later.' },
    standardHeaders: true,
});

app.post('/login', loginLimiter, async (req, res) => {
    // 로그인 로직
});

// A03:2021 - Injection 방지 (입력 검증)
// 6. express-validator로 입력 검증
app.post('/users',
    [
        body('email').isEmail().normalizeEmail(),
        body('username').isAlphanumeric().isLength({ min: 3, max: 20 }),
        body('password').isStrongPassword({
            minLength: 12,
            minLowercase: 1,
            minUppercase: 1,
            minNumbers: 1,
            minSymbols: 1
        }),
    ],
    (req, res) => {
        const errors = validationResult(req);
        if (!errors.isEmpty()) {
            return res.status(400).json({ errors: errors.array() });
        }
        // 사용자 생성 로직
    }
);

// A08:2021 - SSRF 방지
// 7. URL 화이트리스트 검증
const allowedHosts = ['api.trusted.com', 'cdn.trusted.com'];

function isAllowedUrl(url) {
    try {
        const parsed = new URL(url);
        return allowedHosts.includes(parsed.hostname);
    } catch {
        return false;
    }
}

app.post('/fetch-url', (req, res) => {
    if (!isAllowedUrl(req.body.url)) {
        return res.status(400).json({ error: 'URL not allowed' });
    }
    // URL 페치 로직
});