https://github.com/CIVAR-DIMIGO/Dimiwords/blob/master/Server/routes/auth/login.js

제보자: 김동영, 김진서

var password = crypto.createHash('md5').update(req.body.password, 'utf8').digest('hex')

사용자 패스워드가 MD5로 해싱되어 저장된다.

취약한 이유

• MD5는 더 이상 안전하지 않음(하드웨어 성능 개선 및 관련 공격 기술 등), End-Of-Life
• 참고: https://www.zdnet.com/article/md5-password-scrambler-no-longer-safe/
• salted MD5도 좋은 생각이 아님: https://security.stackexchange.com/questions/19906/is-md5-considered-insecure

솔루션

• 패스워드 암호화 방식을 bcrypt, scrypt 등으로 변경한다.
• MD5로 해싱된 패스워드를 보유한 기존 유저의 경우 다음 로그인 시 비밀번호 재입력 및 변경 절차를 거친 뒤 서비스를 이용할 수 있게 한다.

"devDependencies": {
    "webpack-dev-server": "^2.11.1"
}

• 3.1.11 미만 버전에서 CVE-2018-14732가 발생한다.
• 참고: https://nvd.nist.gov/vuln/detail/CVE-2018-14732

솔루션

최신 버전으로 업데이트한다. 그런데 그러면 개발 서버를 로컬에서 굴릴 때 에러가 조금 난다...

서버(백엔드)를 따로 분리하여 관리합니다.

사용자 경험에 대한 편리성을 향상시킨 디자인을 적용해야 합니다.

제안: 서재원

단어 스펠링 중심 게임 대신 단어의 뜻 중심으로 학습이 가능한 모드가 필요하다.

• 단어 카드(영어가 앞면, 클릭하면 발음과 동시에 일정 시간 동안 한글 뜻을 보여주고 다음 카드가 나옴)
• 단어 뜻 맞추기(단어 뜻 옵션 여러 개가 나오고 표시되는 영어 단어의 뜻을 맞춰야 넘어감)

https://github.com/CIVAR-DIMIGO/Dimiwords/blob/master/Server/routes/get/wordbook.js

제보자: 김진서

Wordbook.findById(id, function (error, wordbook) {
    if (error) { console.error(error) }
    res.send({ wordbook })
})

/get/wordbook API에서 error가 발생한 이후에도 결과값이 반환된다.
다음 커밋에서 수정 예정.

Vue를 야매로 배우면서 만들어서 컴포넌트와 페이지가 구분조차 안 되어 있어 끔찍합니다.
단어 배지부터 페이지별 카드까지 리팩토링해야 합니다.

Upgrade bootstrap to version 4.3.1 or later

Gitbook 자동 integration 시스템을 설정해야 합니다.

Login

-ID : [email protected]
-PW : ex1234
return
success : true or false
message : false-아이디 없음, 비밀번호 불일치, 서버 에러 등 상세하게 알려주기

Join

-ID : [email protected]
-PW : ex1234
(비밀번호 확인은 클라이언트에서)
-DM : EB-0, DC-1, WP-2, HD-3
return
success : true or false
message : false-같은 아이디 존재, 서버 에러 등 상세하게 알려주기

WordbooksList

-page : 1, 2, 3 ···
return
success : true or false
message : true-WordBook_ID 배열 (WordBook_ID를 조회하면 Word_ID배열이 나온다)
false-없는 페이지, 서버 에러 등 상세하게 알려주기

WordsList

-page : 1, 2, 3 ···
return
success : true or false
message : true-Word_ID 배열 (Word_ID를 조회하면 그 단어의 데이터가 나온다)
false-없는 페이지, 서버 에러 등 상세하게 알려주기

Wordbook_ID

-ID : 단어의 ID
return
success : true of false
message : true-필수(한국어, 영어), 가능하면(정답횟수(accept), 답 제출 횟수(submit))
false-없는 단어 아이디, 서버 에러 등 상세하게 알려주기

WordBook_ID

-ID : 단어장의 ID
return
success : true of false
message : true-필수(Word_ID), 가능하면(정답횟수(accept), 답 제출 횟수(submit))

Point

-token : 유저의 token
-point : 1, 3, 5 ···
return
success : true of false
message : false-토큰 조회 실패, 발생할 수 없는 point, 서버 에러 등 상세하게 알려주기

올바른 정답을 입력한 후 엔터를 연타하면 몇 개의 단어가 정답처리됨과 동시에 포인트를 받으며, 다음 단어로 넘어갑니다.