웹 보안에서 window.postMessage() 사용 시 주의할 점은?

해설

postMessage()는 서로 다른 출처(origin) 간 통신을 가능하게 합니다. 수신 측에서 event.origin을 반드시 확인하지 않으면, 악의적인 iframe이나 팝업에서 보낸 가짜 메시지를 처리할 위험이 있습니다. targetOrigin도 '*' 대신 구체적인 출처를 지정해야 합니다.