[Spring Boot] 72. 스프링부트 블로그 v3 (RestAPI) (17) Origin & CSRF

Origin & CSRF Security

• User-Agent

• Referer

• Origin

• CSRF Token

1. User-Agent, Referer, Origin

User-Agent (UA)

• 요청을 보내는 프로그램 정보

• 예: Chrome, Safari, 모바일 브라우저 등

• 서버는 UA를 통해 브라우저인지, 봇인지, 이상한 프로그램인지를 대략 판단할 수 있다.

Referer

• 사용자가 직전에 어떤 URL에 있었는지 알려주는 값

• 예:
로그인 페이지 /login-form 에서 로그인 요청이 들어왔다면
referer = https://blog.com/login-form

❗ 하지만 Referer 또한 HTTP 요청 코드에서 조작 가능 → 100% 신뢰 불가

Origin (출처)

• 요청이 발생한 도메인

• Query, Path 등은 포함되지 않고 오직 프로토콜 + 도메인만 포함

• 예:
https://blog.com/login-form 페이지 → origin = https://blog.com

즉, CORS 보안의 핵심 값이기도 함.

그런데 문제는…

2. CSRF Token의 필요성

1. 로그인 폼을 렌더링할 때

2. 해시 기반으로 전자서명된 CSRF 토큰을 함께 보내준다

3. 사용자는 폼 제출 시 그 토큰을 서버로 다시 보낸다

4. 서버는 그 값이 내가 발급한 CSRF 토큰이 맞는지 검증

• 외부 페이지에서 만든 HTML 폼은 올바른 CSRF 토큰을 포함할 수 없고

• Java 코드로 임의 요청을 보낼 때도 토큰 없이 제출하면 403 Forbidden

3. RestTemplate에서 CSRF를 우회할 수 없는 이유

• 서버가 렌더링해준 HTML 페이지를 거치지 않기 때문

• 즉, 서버가 발급한 CSRF 토큰을 받을 경로가 없음

• 또한 서버가 발급한 JSESSIONID 쿠키도 당연히 없음

headers.set("X-CSRF-TOKEN", "발급받은 실제 토큰");
headers.set("Cookie", "JSESSIONID=서버에서 받은 실제 쿠키");
headers.set("Referer", "https://example.com/form");
headers.set("User-Agent", "Mozilla/5.0 ...");

“내가 만든 진짜 페이지에서 발생한 요청인지 확인하기 위한 가장 확실한 방법”

4. 정리

결론

UA, Referer, Origin은 “정상 요청인지”를 판별하는 보조 지표이고,

CSRF 토큰만이 진짜 브라우저 기반 정상 요청인지 검증하는 핵심 기술이다.

1. Origin

UA, Refer, Origin,CSRF

import org.springframework.http.*;
import org.springframework.web.client.RestTemplate;

import java.util.*;

public class RestTemplateCsrfExample {

    public static void main(String[] args) {

        String targetUrl = "https://example.com/submit";

        // RestTemplate 객체 생성
        RestTemplate restTemplate = new RestTemplate();

        // ========================
        // 1. 요청 헤더 설정
        // ========================
        HttpHeaders headers = new HttpHeaders();

        // (1) CSRF 토큰 - 서버에서 받은 값이어야 함
        headers.set("X-CSRF-TOKEN", "AbCdEfGhIj123456");  // 수동 입력

        // (2) JSESSIONID - 서버에서 받은 쿠키값이어야 함
        headers.set("Cookie", "JSESSIONID=abcde12345xyz");

        // (3) Referer
        headers.set("Referer", "https://example.com/form");

        // (4) User-Agent
        headers.set("User-Agent", "Mozilla/5.0 (Windows NT 10.0; Win64; x64)");

        // (5) Content-Type
        headers.setContentType(MediaType.APPLICATION_FORM_URLENCODED);

        // ========================
        // 2. 요청 바디 설정
        // ========================
        MultiValueMap<String, String> body = new LinkedMultiValueMap<>();
        body.add("amount", "1000");
        body.add("to", "receiver_account");

        // ========================
        // 3. HttpEntity 만들기
        // ========================
        HttpEntity<MultiValueMap<String, String>> requestEntity = new HttpEntity<>(body, headers);

        // ========================
        // 4. 요청 실행
        // ========================
        ResponseEntity<String> response = restTemplate.exchange(
                targetUrl,
                HttpMethod.POST,
                requestEntity,
                String.class
        );

        // ========================
        // 5. 응답 출력
        // ========================
        System.out.println("Response Code: " + response.getStatusCode());
        System.out.println("Response Body: " + response.getBody());
    }
}