feat(core): 정적 최적화 서버 대응 자산 URL 이중 모드
nginx 의 정규식 location 은 프리픽스 location 보다 먼저 매칭되므로, `location ~* \.(js|css|json)$` 블록이 있는 서버에서는 확장자 붙은 동적 엔드포인트가 `try_files ... /index.php` 폴백이 실행될 기회 없이 404 가 된다. aaPanel/CyberPanel/Plesk 기본 템플릿에 들어있어 드물지 않으며, 관리자 화면조차 뜨지 않아 "서버 설정을 고치세요" 안내가 순환 참조가 된다. 관례를 깬 쪽이 G7 이므로 해소 책임도 G7 에 두고, 두 형태를 모두 서빙한 뒤 환경에 따라 택일한다. 확장자 형태는 영구 유지한다 — 제거하면 URL 을 하드코딩한 서드파티 확장이 깨진다. - 라우트: dualSuffix / dualSuffixSegment / dualAsset 매크로로 23개 엔드포인트와 프로브를 이중 등록. 확장자 형태를 먼저 등록한다 — 확장자 없는 쪽이 더 느슨한 패턴이라 순서가 뒤집히면 `.json` 요청까지 삼킨다 - URL 생성: 서버 App\Support\AssetUrl, 프론트 core/support/assetUrl.ts 로 집약. 기본 모드에서 생성 결과는 치환 이전과 문자열까지 동일하다 (쿼리 순서 포함 — 순서가 바뀌면 의미는 같아도 HTTP 캐시 키가 갈린다) - 자가 복구: 부트스트랩 자산 로드 실패 시 확장자 없는 형태로 1회 단방향 전환. 역방향 금지 + 기존 재시도 예산 공유로 무한 왕복을 막는다 - 감지·전환: 인스톨러 프로브(설치 시 확정) / 관리자 환경설정 일반 탭 / g7:asset-url-mode. 판정은 상태코드가 아니라 매직 토큰 + Content-Type 으로 한다. 상태코드만 보면 "404 대신 200 + 에러 HTML" 환경에서 영원히 오판한다 - 봇은 JavaScript 를 실행하지 않아 자가 복구가 닿지 않으므로, 모드 변경 시 SEO 프리렌더 캐시를 비워 재생성시킨다 가드: audit 룰 2종(dynamic-route-static-extension / asset-url-builder-required), Playwright 6건(정적 블록 가로채기 시뮬레이션), 루프 방지 불변식 L1~L9 전수 red 증명. 부수 정리: 양 Composer 에 중복돼 있던 확장 에셋 수집 123줄을 트레이트로 통합하고, 자산 확장자 화이트리스트 누락(.map)과 경로 정규화 우회 가능성을 함께 교정. sir.kr 커뮤니티의 hang 님께서 제보해주셨습니다.
This commit is contained in:
HeuJung committed
1 parent
74df8a4b09
commit
15cd4452bf
90 files changed
+4279
-546
No files matched your search
@@ -8,6 +8,7 @@ use App\Extension\Helpers\EditorSpecAssembler;
|
||||
use App\Http\Controllers\Api\Base\AdminBaseController;
|
||||
use App\Services\PermissionService;
|
||||
use App\Services\TemplateService;
|
||||
use App\Support\AssetUrl;
|
||||
use Illuminate\Http\JsonResponse;
|
||||
use Symfony\Component\HttpFoundation\Response;
|
||||
|
||||
@@ -88,17 +89,19 @@ class AdminTemplateAssetController extends AdminBaseController
|
||||
}
|
||||
|
||||
$extensionCacheVersion = (int) app(CacheInterface::class)->get('ext.cache_version', 0);
|
||||
$version = $extensionCacheVersion > 0 ? "?v={$extensionCacheVersion}" : '';
|
||||
$version = $extensionCacheVersion > 0 ? $extensionCacheVersion : null;
|
||||
|
||||
return $this->success(
|
||||
__('templates.messages.editor_assets_retrieved'),
|
||||
[
|
||||
'identifier' => $identifier,
|
||||
'js' => ["/api/templates/assets/{$identifier}/js/components.iife.js{$version}"],
|
||||
'js' => [AssetUrl::templateAsset($identifier, 'js/components.iife.js', $version)],
|
||||
// CSS 는 편집기 전용 엔드포인트로 — 다크 셀렉터를 프리뷰 마커로 치환해 서빙
|
||||
// 일반 자산 서빙은 원본.
|
||||
// URI 가 `components` 가 아니라 `component-styles` 인 이유: 확장자를 떼면
|
||||
// `editor/components.json` 의 확장자 없는 형태와 충돌한다.
|
||||
'css' => $cssAvailable
|
||||
? ["/api/admin/templates/{$identifier}/editor/components.css{$version}"]
|
||||
? [AssetUrl::suffixed("/api/admin/templates/{$identifier}/editor/component-styles", 'css', $version)]
|
||||
: [],
|
||||
'manifest_present' => true,
|
||||
'manifest_source' => $jsSource,
|
||||
|
||||
@@ -0,0 +1,74 @@
|
||||
<?php
|
||||
|
||||
namespace App\Http\Controllers\Api\Public;
|
||||
|
||||
use App\Http\Controllers\Api\Base\PublicBaseController;
|
||||
use Illuminate\Http\Response;
|
||||
|
||||
/**
|
||||
* 자산 URL 모드 감지 프로브.
|
||||
*
|
||||
* 서버(nginx/Apache)의 정적 최적화 블록이 확장자 붙은 동적 응답을 가로채는지
|
||||
* 판정하기 위한 대조 엔드포인트다. 브라우저가 아래 두 URL 을 쌍으로 요청한다.
|
||||
*
|
||||
* ```text
|
||||
* GET /api/system/asset-probe.js → 확장자 형태 (정적 블록의 표적)
|
||||
* GET /api/system/asset-probe → 대조군
|
||||
* ```
|
||||
*
|
||||
* | probe.js | probe | 판정 |
|
||||
* |---|---|---|
|
||||
* | 성공 | 성공 | `extension` — 확장자 유지 가능 |
|
||||
* | 실패 | 성공 | `extensionless` — 정적 블록 가로채기 확정 |
|
||||
* | 실패 | 실패 | 모드 문제 아님 (PHP/라우팅 장애) — 별도 안내 |
|
||||
*
|
||||
* ## 판정은 상태코드가 아니라 본문이다
|
||||
*
|
||||
* 클라이언트는 `res.ok && body.includes(PROBE_TOKEN)` 로 판정해야 한다.
|
||||
* 상태코드만 보면 "404 대신 200 + 에러 HTML" 이나 catch-all 200 페이지를
|
||||
* 반환하는 설정에서 영원히 `extension` 으로 오판해, 재감지를 몇 번 눌러도
|
||||
* 같은 오답이 나온다.
|
||||
*
|
||||
* ## 감지는 반드시 브라우저에서 수행한다
|
||||
*
|
||||
* 서버측에서 자기 `APP_URL` 로 curl 하면 loopback 이 nginx vhost·SSL·프록시
|
||||
* 체인을 우회하거나 다른 vhost 를 타서 오판한다.
|
||||
*
|
||||
* ## 실물 파일을 두지 않는다
|
||||
*
|
||||
* `public/` 하위에 실제 `asset-probe.js` 파일이 존재하면 nginx 가 그것을
|
||||
* 성공적으로 서빙해 거짓 양성이 된다. 본 라우트는 반드시 실물 파일이 없는
|
||||
* 경로여야 한다.
|
||||
*/
|
||||
class AssetProbeController extends PublicBaseController
|
||||
{
|
||||
/**
|
||||
* 프로브 성공 판정용 매직 토큰.
|
||||
*
|
||||
* 클라이언트·테스트가 응답 본문에서 이 문자열을 찾아 성공을 판정한다.
|
||||
*/
|
||||
public const PROBE_TOKEN = 'G7_ASSET_PROBE_OK';
|
||||
|
||||
/**
|
||||
* 프로브 응답을 반환합니다.
|
||||
*
|
||||
* DB 에 접근하지 않으며(설치 전에도 응답 가능) 캐시되지 않습니다.
|
||||
* ResponseHelper 의 JSON 봉투를 쓰지 않는 이유: 이 엔드포인트의 목적은
|
||||
* "정적 자산으로 오인될 응답"을 실제로 흉내내는 것이므로, 자바스크립트
|
||||
* Content-Type 과 본문 형태를 그대로 유지해야 대표성이 있다.
|
||||
*
|
||||
* @return Response 매직 토큰을 담은 자바스크립트 응답
|
||||
*/
|
||||
public function probe(): Response
|
||||
{
|
||||
$body = "/* G7 asset URL mode probe */\n"
|
||||
."window.__g7AssetProbe = '".self::PROBE_TOKEN."';\n";
|
||||
|
||||
return response($body, 200, [
|
||||
'Content-Type' => 'application/javascript; charset=utf-8',
|
||||
'Cache-Control' => 'no-store, no-cache, must-revalidate, max-age=0',
|
||||
'Pragma' => 'no-cache',
|
||||
'X-Content-Type-Options' => 'nosniff',
|
||||
]);
|
||||
}
|
||||
}
|
||||
@@ -71,14 +71,16 @@ class PublicModuleController extends PublicBaseController
|
||||
*
|
||||
* @param ServeModuleAssetRequest $request 검증된 요청 (경로, 확장자 검증 완료)
|
||||
* @param string $identifier 모듈 식별자 (vendor-module 형식)
|
||||
* @param string $path 에셋 경로 (dist/js/module.iife.js 등)
|
||||
* @return BinaryFileResponse|JsonResponse|Response 파일 응답 또는 에러 응답
|
||||
*/
|
||||
public function serveAsset(
|
||||
ServeModuleAssetRequest $request,
|
||||
string $identifier,
|
||||
string $path
|
||||
string $identifier
|
||||
): BinaryFileResponse|JsonResponse|Response {
|
||||
// 파일 경로는 FormRequest 에서 받는다 — 확장자 모드는 `{path}` 라우트 세그먼트,
|
||||
// 확장자 없는 모드는 `?file=` 쿼리로 오며 prepareForValidation() 이 이를 흡수한다.
|
||||
$path = (string) $request->validated('path');
|
||||
|
||||
// FormRequest에서 이미 보안 검증 완료
|
||||
// API 사용량 기록
|
||||
$this->logApiUsage('modules.assets', ['identifier' => $identifier, 'path' => $path]);
|
||||
|
||||
@@ -70,14 +70,16 @@ class PublicPluginController extends PublicBaseController
|
||||
*
|
||||
* @param ServePluginAssetRequest $request 검증된 요청 (경로, 확장자 검증 완료)
|
||||
* @param string $identifier 플러그인 식별자 (vendor-plugin 형식)
|
||||
* @param string $path 에셋 경로 (dist/js/plugin.iife.js 등)
|
||||
* @return BinaryFileResponse|JsonResponse|Response 파일 응답 또는 에러 응답
|
||||
*/
|
||||
public function serveAsset(
|
||||
ServePluginAssetRequest $request,
|
||||
string $identifier,
|
||||
string $path
|
||||
string $identifier
|
||||
): BinaryFileResponse|JsonResponse|Response {
|
||||
// 파일 경로는 FormRequest 에서 받는다 — 확장자 모드는 `{path}` 라우트 세그먼트,
|
||||
// 확장자 없는 모드는 `?file=` 쿼리로 오며 prepareForValidation() 이 이를 흡수한다.
|
||||
$path = (string) $request->validated('path');
|
||||
|
||||
// FormRequest에서 이미 보안 검증 완료
|
||||
// API 사용량 기록
|
||||
$this->logApiUsage('plugins.assets', ['identifier' => $identifier, 'path' => $path]);
|
||||
|
||||
@@ -88,13 +88,16 @@ class PublicTemplateController extends PublicBaseController
|
||||
/**
|
||||
* 템플릿 정적 파일 서빙
|
||||
*
|
||||
* @param ServeTemplateAssetRequest $request 요청 (FormRequest 검증)
|
||||
* @param ServeTemplateAssetRequest $request 요청 (FormRequest 검증, 파일 경로 `path` 포함)
|
||||
* @param string $identifier 템플릿 식별자
|
||||
* @param string $path 요청 경로
|
||||
* @return BinaryFileResponse|JsonResponse|Response 파일 응답 또는 에러
|
||||
*/
|
||||
public function serveAsset(ServeTemplateAssetRequest $request, string $identifier, string $path): BinaryFileResponse|JsonResponse|Response
|
||||
public function serveAsset(ServeTemplateAssetRequest $request, string $identifier): BinaryFileResponse|JsonResponse|Response
|
||||
{
|
||||
// 파일 경로는 FormRequest 에서 받는다 — 확장자 모드는 `{path}` 라우트 세그먼트,
|
||||
// 확장자 없는 모드는 `?file=` 쿼리로 오며 prepareForValidation() 이 이를 흡수한다.
|
||||
$path = (string) $request->validated('path');
|
||||
|
||||
// FormRequest에서 이미 보안 검증 완료
|
||||
// API 사용량 기록
|
||||
$this->logApiUsage('templates.assets', ['identifier' => $identifier, 'path' => $path]);
|
||||
|
||||
Reference in new issue
Block a user