방금 공홈 릴리즈노트를 보니

[개발자 참고] 호환성 문제에 대한 변경 방법 안내

보안 취약점 해결을 위해 다음과 같이 변경되었습니다.

• Controller로 작성된 proc*로 시작하는 act는 항상 POST 요청만을 처리합니다.
  • 기존 GET으로 요청하는 act는 동작이 제한됩니다.
• 모든 POST 요청은 checkCSRF()를 통해 referer 검증 등의 절차를 거칩니다.

이와 같은 변경으로 인해 개발하신 모듈에서 호환성 문제가 발생하는 경우 아래 참조와 같이 변경할 수 있습니다.
다만, 주의가 필요하며 특정 권한을 필요로 하거나 주요 데이터를 변경하는 등의 동작에는 신중하게 적용하시기 바랍니다.

아래 변경방법은 Controller로 선언하여 POST 요청만을 허용하는 act에 GET 요청이 동작할 수 있도록 허용할 수 있습니다.
method="GET|POST" 속성을 추가하여 GET과 POST 요청에 대해 동작하도록 허용합니다.

변경 방법 참조 : 70d8a85

***

이것과 관련된 내용인가요?

네. 미솔님 답변 감사합니다. ^^

휴~ 웹환경이 생태계이긴 한가 봅니다. ㅋ

항상 위협요소에 대응해야 하고 

때로는 도태되고 살아남아 존재하고를 반복하니 말이죠.

그런데 이해가 안되는것은 GET 또는 POST를 처리하는 Context에서 방어막을 치고 있으면 되는 문제인듯한데

ModuleHandler에서 그리고 개별 모듈의 Controller에서 처리하는지가 의문입니다.

네. 그렇지만 보안 개념이 각 개별 모듈에서 처리되는 개념이라면 

한곳만 뚫려도 다 뚫리는것인데 그걸 보안이라고 보기는 힘들어 보입니다.

모든공격을 막지는 못하더라도 일단은 데이타가 일차 통과하는 입구에서 차단하고 그곳이 뚫린경우 각 모듈이 방어하는 개념이 더 좋을듯 합니다.

데이타가 일차 통과하는 입구는 열어 놓고 방어막을 친다는것은 이해가 안되는군요,