로그인 페이지가 존재하지 않는 사용자와 잘못된 비밀번호에 대해 동일한 Invalid username or password 메시지를 반환해야 하는 이유는 무엇인가요?
Invalid username or password
특정 사용자 이름이 존재하는지 노출하지 않기 위해서입니다.
메시지만으로 자동 로그인 시도를 방지할 수 있기 때문입니다.
사이트가 비밀번호를 사용하지 않는다는 뜻이기 때문입니다.
시도한 모든 사용자 이름이 유효하다는 것을 확인해 주기 때문입니다.