외부 JSON을 설정 객체에 재귀 병합합니다. 단순 속성 복사가 prototype 오염으로 이어질 수 있나요?

비신뢰 키를 동적 속성 접근·재귀 병합에 사용하면 구현에 따라 객체의 prototype 경로나 공유 기본값을 오염시킬 수 있습니다. JSON 파싱 성공 자체가 후속 병합의 안전성을 보장하지 않습니다.

동작 원리와 전제

허용된 설정 키와 중첩 구조를 스키마로 제한하고 prototype 관련 특수 경로를 처리하는 라이브러리의 보안 상태를 확인합니다. 상속된 속성과 own property를 구분하며 권한 판단에서 임의 객체의 truthy 필드를 신뢰하지 않습니다.

선택과 실패 처리

Map이나 null-prototype 객체가 적합할 수 있지만 모든 후속 코드가 같은 가정을 유지해야 합니다. 입력을 denylist 몇 개로만 정리하기보다 필요한 필드를 새 객체에 명시적으로 복사합니다. 타입·길이·깊이 제한도 적용합니다.

구체적인 사례와 검증

설정에서 admin 필드를 읽을 때 own property인지 확인하지 않고 상속된 값을 사용하면 오염된 prototype이 권한 판단에 영향을 줄 수 있습니다. 권한은 외부 설정 객체의 임의 필드가 아니라 검증된 인증 문맥에서 얻어야 합니다. 입력을 새 객체에 명시적으로 매핑하면 불필요한 속성이 내부로 들어오는 일을 줄일 수 있지만 nested 데이터도 같은 검사를 적용합니다. 라이브러리 업데이트 후에도 병합 옵션·경로 구분 규칙을 회귀 테스트합니다. JSON 문법의 안전성과 그 값이 어떤 코드 경로에서 사용되는지는 별개라는 점을 보안 리뷰에 포함하겠습니다.

허가된 테스트에서 특수 키·중첩 병합·상속 속성·기본 설정 변경을 확인합니다. 오염이 발생하지 않더라도 사용자 설정이 권한·외부 URL을 바꿀 수 있는지 인가를 검사합니다. 객체 표현의 안전성과 업무 권한은 별도 경계입니다.