여러분의 앱을 점검하세요! 보안 SaaS를 분석하며 발견한 주의사항들

작성자의 상세한 분석에 대해 긍정적인 반응이며, 특히 Supabase 사용 시 보안 설정의 중요성에 공감하는 분위기이다.

• Supabase Edge Function 내부에서 auth.getUser() 등을 호출하여 JWT를 검증할 것
• Node.js 환경에서는 sharp 라이브러리를 사용하여 이미지 메타데이터를 제거할 것
• Python 환경에서는 Pillow 라이브러리를 사용하여 EXIF 데이터를 스트리핑할 것
• API 응답 지연 시간이 길다면 LLM 호출 여부를 확인하고 반드시 속도 제한 로직을 추가할 것

• Supabase Edge Function 사용 시 anon 키 외에 반드시 사용자 JWT 검증 로직을 추가하여 비인증 접근을 차단해야 한다.
• LLM 호출과 같이 실행 비용이 높은 엔드포인트에는 속도 제한(Rate Limiting)을 적용하여 악의적인 반복 호출로 인한 비용 폭탄을 방지해야 한다.
• 업로드된 이미지에서 GPS 등 개인정보가 포함된 EXIF 메타데이터를 서버 측에서 즉시 제거하여 프라이버시 유출 사고를 예방해야 한다.
• CORS 설정을 와일드카드 대신 실제 서비스 도메인으로 고정하여 브라우저를 통한 타 사이트의 API 무단 호출을 차단해야 한다.