1.3 KiB
1.3 KiB
헤더 도착과 인가 우회는 다르다
Alternative text
외부 위조 헤더가 nginx 를 지나 permitAll echo 에서는 200으로 도착하지만 JWT 보호 경로에서는 401로 막히는 분기.
Long description
위조 헤더는 app1.hyeonworks.com/api 의 permitAll echo 앱까지 그대로 도착했다. 같은 헤더로 JWT 를 요구하는 /api/me 와 /api/protected 를 호출하면 401이었다. 따라서 헤더 도착과 인가 우회는 다른 사건이다. proxy_set_header 로 먼저 지우는 것은 문서에 적힌 처방이지만 이 실험대에서는 적용하지 않아 미검증이다.
Elements and evidence
- 외부 위조 헤더 (actor): 앱이 신뢰할 수 있는 이름과 같은 헤더를 보낸다. Evidence: L823–L830.
- nginx (gateway): 설정하지 않은 동명 헤더를 덮어쓰지 않는다. Evidence: L829–L830.
- permitAll echo (service): 위조 헤더가 도착하는 것을 관측한 경로다. Evidence: L825–L840.
- JWT 보호 경로 (service): 같은 위조 헤더만으로는 통과하지 못했다. Evidence: L832–L840.
Relationships
- 외부 위조 헤더 → nginx: 위조 헤더. Evidence: L823–L830.
- nginx → permitAll echo: 그대로 전달. Evidence: L825–L840.
- nginx → JWT 보호 경로: 같은 헤더. Evidence: L832–L840.