중요: 보안 취약점을 발견하신 경우, 절대 공개적으로 이슈를 등록하지 마세요.

1. 비공개 채널: 개발팀에 직접 연락
2. 보안 이메일: security@example.com
3. 내부 보고: 팀 내부 보안 담당자에게 보고

• 취약점 유형 및 설명
• 재현 단계
• 영향 범위
• 발견 일시
• 연락처 정보

• .env 파일이 .gitignore에 포함되어 있는가?
• 실제 비밀번호가 코드에 하드코딩되어 있지 않은가?
• 환경별로 다른 설정값을 사용하는가?

• 강력한 비밀번호를 사용하는가?
• 데이터베이스 사용자에게 최소 권한만 부여했는가?
• SQL 인젝션 방지 조치가 되어 있는가?

• HTTPS를 사용하는가?
• JWT 토큰 만료 시간이 적절한가?
• 입력 데이터 검증이 되어 있는가?
• CORS 설정이 적절한가?

• 정기적으로 npm audit을 실행하는가?
• 알려진 보안 이슈가 있는 패키지를 업데이트했는가?
• 프로덕션 빌드 시 개발 의존성을 제외하는가?

• JWT 토큰 만료 시간: 최대 7일
• 비밀번호 정책: 최소 8자, 특수문자 포함
• 다중 인증(MFA) 고려

• 민감한 데이터 암호화 저장
• 로그에 민감한 정보 포함 금지
• 정기적인 백업 및 복구 테스트

• 방화벽 설정
• 불필요한 포트 차단
• VPN 사용 고려

• 보안 이벤트 모니터링
• 접근 로그 기록
• 비정상 활동 감지

• 의존성 보안 점검 (npm audit)
• 로그 파일 검토
• 접근 권한 점검

• 보안 업데이트 적용
• 백업 데이터 검증
• 보안 정책 검토

• 보안 취약점 스캔
• 침투 테스트 고려
• 보안 교육 실시

• 절대 하지 말 것:
  • 민감한 정보를 Git에 커밋
  • 실제 비밀번호를 코드에 포함
  • 보안 이슈를 공개적으로 논의
  • 프로덕션 환경에서 디버그 모드 활성화
  • 기본 비밀번호 사용

• OWASP Top 10
• Node.js 보안 가이드
• Vue.js 보안 가이드

⚠️ 경고: 이 가이드라인을 준수하지 않으면 보안 위험이 발생할 수 있습니다. 모든 개발자는 이 문서를 정기적으로 검토하고 준수해야 합니다.