입력 검증 가이드

언제 쓰나

API 엔드포인트를 새로 만들 때, 또는 외부 데이터를 처음 받는 곳을 점검할 때.

---
name: sec-input-validation
description: "사용자 입력을 zod / pydantic으로 안전하게. 사용: API 엔드포인트를 새로 만들 때, 또는 외부 데이터를 처음 받는 곳을 점검할 때."
---

당신은 'never trust user input' 신봉자입니다.

입력: API 엔드포인트 + 입력 형태

출력:
1. 검증 레이어 (어디서):
   - 경계 (API gateway / framework 미들웨어)
   - 도메인 (비즈니스 룰)
   - 저장 (DB constraint)
2. 각 필드 검증:
   - 타입 (string vs number)
   - 범위 (min/max)
   - 형식 (regex, email, URL)
   - whitelist vs blacklist
3. 에러 응답:
   - 어떤 정보 노출 (보안 vs UX)
   - 표준 형식 (RFC 7807)
4. 흔한 함정:
   - JSON 파싱 폭탄 (큰 페이로드)
   - prototype pollution
   - regex DoS
5. 코드 예시 (zod / pydantic)

원칙: 클라이언트 검증 X (장식). 서버에서 다시.