[Servlet] Forward와 Redirect의 차이점 (feat. 보안)

1. Forward와 Redirect의 정의와 구현

Forward

: 주로 같은 애플리케이션 내의 다른 서블릿 또는 JSP 페이지로 요청을 전달하는 데 사용되는 기능.
서버 측에서 처리되며, 클라이언트에게 새로운 요청이 생성되지 않는다.

public class ForwardServlet extends HttpServlet {
    protected void doGet(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
        // Forward할 다른 서블릿 또는 JSP 페이지의 경로를 지정합니다.
        String forwardPath = "/destination.jsp";

        // RequestDispatcher를 얻어와 Forward를 수행합니다.
        RequestDispatcher dispatcher = getServletContext().getRequestDispatcher(forwardPath);
        dispatcher.forward(request, response);
    }
}

 

Redirect

: 주로 다른 도메인으로 사용자를 보낼 때 또는 외부 웹 페이지로 리디렉션할 때 사용되는 기능.
클라이언트에게 새로운 요청을 만들도록 지시하며, 새로운 URL로 이동한다.

public class RedirectServlet extends HttpServlet {
    protected void doGet(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
        // 클라이언트에게 보낼 새로운 URL을 지정합니다.
        String redirectURL = "/newpage.jsp";

        // response 객체의 sendRedirect 메서드를 사용하여 Redirect를 수행합니다.
        response.sendRedirect(redirectURL);
    }
}

 

 

---

2. 보안 측면에서의 차이점

KISA(한국인터넷진흥원)의 소프트웨어 개발 보안 가이드에 따르면, 사용자로부터 입력되는 값을 외부사이트의 주소로 사용하여 연결하는 서버 프로그램은 해커가 클라이언트의 request를 변조함으로써 위험한 url로 접속할 수 있도록 공격이 가능하다고 나와있다. 따라서 Redirect 방법은 요청 url로 바로 이동이 가능하므로 피싱 공격에 노출되는 취약점을 가질 수 있다. 그래서 안전하게 Redirect 방법을 사용하려면, 외부 도메인 리스트를 따로 작성해 두고 검증해야 하며 위험한 접근이 있을 경우 접근을 차단시켜야 한다.

반면에 Forward는 서버 내부에서 요청을 전달하는 것이기 때문에, 클라이언트에게 새로운 url을 노출하지도 않고 클라이언트가 직접 url을 조작할 수도 없다. Forward 방법은 url 조작에 대한 취약점은 없지만 여전히 입력값 검증은 필요하다. 

 

 

 

 

 

 

 

 

 

---

출처

KISA 한국인터넷진흥원

소프트웨어 개발보안 가이드 166 - 169p

Difference Between Forward and Redirect | Difference Between

더 자세한 Forward와 Redirect의 차이점