URL에 예약번호를 실어야 했다 — 개인정보를 봉인 토큰으로 감춘 이야기
예약 완료 후 다음 화면으로 예약번호·이름·전화를 넘겨야 했다. 가장 쉬운 URL 쿼리스트링은 개인정보 평문 노출 + 위변조 위험. 서버 세션 대신 AES-256-GCM 봉인 토큰으로 '무상태 + 위변조 차단'을 동시에 잡은 과정.
2개의 글
예약 완료 후 다음 화면으로 예약번호·이름·전화를 넘겨야 했다. 가장 쉬운 URL 쿼리스트링은 개인정보 평문 노출 + 위변조 위험. 서버 세션 대신 AES-256-GCM 봉인 토큰으로 '무상태 + 위변조 차단'을 동시에 잡은 과정.
BFF 프록시가 클라이언트 요청을 내부 API로 그대로 전달하면, 클라이언트가 실어 보낸 X-API-KEY·X-Auth 헤더도 함께 전달된다. 그 헤더를 신뢰하는 대신, 프록시 단에서 전부 삭제하고 서버가 가진 진짜 값으로 재주입해 위조 자체를 불가능하게 만든 과정.