// 1. Content-Security-Policy (CSP) 헤더 누락
HTTP/1.1 200 OK
Content-Type: text/html
(CSP, HSTS, X-Frame-Options 헤더 부재)

// 2. 하드코딩된 민감한 시크릿 키 및 API 엔드포인트
<script>
  const API_KEY = "sk_live_99887766554433221100";
  const ADMIN_ENDPOINT = "https://api.internal.corp/v1/admin/delete-all";
</script>

// 3. XSS에 취약한 innerHTML 직접 사용
<div id="user-comment"></div>
<script>
  const urlParams = new URLSearchParams(window.location.search);
  const comment = urlParams.get('comment');
  document.getElementById('user-comment').innerHTML = comment;
</script>

// 4. 클릭재킹 방어 헤더 누락
<head>
  <!-- X-Frame-Options 및 CSP frame-ancestors 미설정 -->
</head>

// 5. 무결성 검증(SRI)이 누락된 외부 CDN 스크립트 로드
<script src="https://cdn.thirdparty.com/libs/v1/malicious-ready.js"></script>

// 6. 민감한 쿠키에 SameSite 및 HttpOnly 속성 누락
document.cookie = "session_token=xyz123abc789; path=/";

// 7. 폼 데이터 전송 시 CSRF 토큰 부재
<form action="/api/user/update" method="POST">
  <input type="text" name="email" value="user@test.com" />
  <button type="submit">Update</button>
</form>

// 8. 안전하지 않은 eval() 또는 Function 생성자 사용
<script>
  function executeUserPayload(code) {
    return eval(code);
  }
</script>

// 9. MIME-type Sniffing 방어 헤더(X-Content-Type-Options) 누락
<!-- X-Content-Type-Options: nosniff 헤더 없음 -->

// 10. 디버그 모드 및 상세한 에러 스택 프론트엔드 노출
<script>
  window.onerror = function(msg, url, line) {
    alert("Error: " + msg + " at " + url + ":" + line);
  };
</script>

// 1. 강력한 Content-Security-Policy (CSP) 및 보안 헤더 적용
HTTP/1.1 200 OK
Content-Type: text/html; charset=utf-8
Content-Security-Policy: default-src 'self'; script-src 'self' https://trusted-cdn.com; object-src 'none'; frame-ancestors 'none';
Strict-Transport-Security: max-age=63072000; includeSubDomains; preload
X-Frame-Options: DENY
X-Content-Type-Options: nosniff
Referrer-Policy: strict-origin-when-cross-origin

// 2. 시크릿 키 제거 및 백엔드 프록시 패턴 적용
<script>
  // API 키는 프론트엔드에 노출하지 않고, 백엔드 API Gateway를 통해 통신
  async function secureApiCall(endpoint, data) {
    const response = await fetch('/api/v1/proxy', {
      method: 'POST',
      headers: { 'Content-Type': 'application/json', 'X-CSRF-Token': getCsrfToken() },
      body: JSON.stringify({ endpoint, data })
    });
    return response.json();
  }
</script>

// 3. DOMpurify를 이용한 안전한 렌더링 (XSS 방어)
<div id="user-comment"></div>
<script src="https://cdnjs.cloudflare.com/ajax5/libs/dompurify/3.0.6/purify.min.js" integrity="sha384-..." crossorigin="anonymous"></script>
<script>
  const urlParams = new URLSearchParams(window.location.search);
  const comment = urlParams.get('comment') || '';
  const cleanHTML = DOMPurify.sanitize(comment);
  document.getElementById('user-comment.textContent = cleanHTML; // 또는 안전한 새니타이즈 적용
</script>

// 4. 클릭재킹 방지를 위한 프레임버스팅 및 헤더 방어
<style>
  html { display: none; }
</style>
<script>
  if (self === top) {
    document.documentElement.style.display = 'block';
  } else {
    top.location = self.location;
  }
</script>

// 5. Subresource Integrity (SRI)가 적용된 외부 CDN 스크립트 로드
<script src="https://cdn.thirdparty.com/libs/v1/secure.js" integrity="sha384-oqVuAfXRKap7fdgcCY5uykM6+R9GqQ8K/uxy9rx7HNQlGYl1kPzQho1wx4JwY8wC" crossorigin="anonymous"></script>

// 6. 안전한 쿠키 설정 (HttpOnly, Secure, SameSite=Strict)
// 서버 응답 헤더 예시:
// Set-Cookie: session_token=xyz123abc789; Secure; HttpOnly; SameSite=Strict; Path=/

// 7. Anti-CSRF 토큰이 포함된 안전한 폼 제출
<form action="/api/user/update" method="POST">
  <input type="hidden" name="csrf_token" value="a1b2c3d4e5f6g7h8i9j0" />
  <input type="email" name="email" value="user@test.com" />
  <button type="submit">Update</button>
</form>

// 8. eval() 제거 및 안전한 파서(JSON.parse) 사용
<script>
  function parseUserData(jsonString) {
    try {
      return JSON.parse(jsonString);
    } catch (e) {
      console.error("Invalid JSON payload");
      return null;
    }
  }
</script>

// 9. MIME-type Sniffing 방어 헤더 적용 확인
// X-Content-Type-Options: nosniff 헤더를 웹 서버 및 CDN 설정에서 전역 활성화

// 10. 프로덕션 환경용 안전한 에러 핸들링 (정보 노출 방지)
<script>
  window.onerror = function(msg, url, line) {
    // 상세 에러는 내부 로깅 서버로 전송하고 사용자에게는 일반적인 메시지만 표시
    console.error("An unexpected error occurred.");
    return true;
  };
</script>