feat(core): 정적 최적화 서버 대응 자산 URL 이중 모드

nginx 의 정규식 location 은 프리픽스 location 보다 먼저 매칭되므로, `location ~* \.(js|css|json)$` 블록이 있는 서버에서는 확장자 붙은 동적 엔드포인트가 `try_files ... /index.php` 폴백이 실행될 기회 없이 404 가 된다. aaPanel/CyberPanel/Plesk 기본 템플릿에 들어있어 드물지 않으며, 관리자 화면조차 뜨지 않아 "서버 설정을 고치세요" 안내가 순환 참조가 된다. 관례를 깬 쪽이 G7 이므로 해소 책임도 G7 에 두고, 두 형태를 모두 서빙한 뒤 환경에 따라 택일한다. 확장자 형태는 영구 유지한다 — 제거하면 URL 을 하드코딩한 서드파티 확장이 깨진다. - 라우트: dualSuffix / dualSuffixSegment / dualAsset 매크로로 23개 엔드포인트와 프로브를 이중 등록. 확장자 형태를 먼저 등록한다 — 확장자 없는 쪽이 더 느슨한 패턴이라 순서가 뒤집히면 `.json` 요청까지 삼킨다 - URL 생성: 서버 App\Support\AssetUrl, 프론트 core/support/assetUrl.ts 로 집약. 기본 모드에서 생성 결과는 치환 이전과 문자열까지 동일하다 (쿼리 순서 포함 — 순서가 바뀌면 의미는 같아도 HTTP 캐시 키가 갈린다) - 자가 복구: 부트스트랩 자산 로드 실패 시 확장자 없는 형태로 1회 단방향 전환. 역방향 금지 + 기존 재시도 예산 공유로 무한 왕복을 막는다 - 감지·전환: 인스톨러 프로브(설치 시 확정) / 관리자 환경설정 일반 탭 / g7:asset-url-mode. 판정은 상태코드가 아니라 매직 토큰 + Content-Type 으로 한다. 상태코드만 보면 "404 대신 200 + 에러 HTML" 환경에서 영원히 오판한다 - 봇은 JavaScript 를 실행하지 않아 자가 복구가 닿지 않으므로, 모드 변경 시 SEO 프리렌더 캐시를 비워 재생성시킨다 가드: audit 룰 2종(dynamic-route-static-extension / asset-url-builder-required), Playwright 6건(정적 블록 가로채기 시뮬레이션), 루프 방지 불변식 L1~L9 전수 red 증명. 부수 정리: 양 Composer 에 중복돼 있던 확장 에셋 수집 123줄을 트레이트로 통합하고, 자산 확장자 화이트리스트 누락(.map)과 경로 정규화 우회 가능성을 함께 교정. sir.kr 커뮤니티의 hang 님께서 제보해주셨습니다.
2026-07-23 11:34:32 +09:00
1 parent 74df8a4b09
commit 15cd4452bf
@@ -0,0 +1,88 @@
+<?php
+
+namespace Tests\Unit\Services;
+
+use App\Services\TemplateService;
+use ReflectionMethod;
+use Tests\TestCase;
+
+/**
+ * TemplateService::sanitizePath() 경로 정제 회귀 테스트 (이슈 #486 인접 결함 ③).
+ *
+ * 결함: `str_replace(['../', '..\\'], '', $path)` 1회성 치환은 제거 자체가 새 패턴을
+ * 만들어낸다. `....//` 는 가운데 `../` 가 제거되면서 `../` 로 복원된다.
+ *
+ * FormRequest 의 realpath 검사가 앞단에서 막고 있어 현재 악용은 불가하지만,
+ * 다층 방어의 한 계층이 무력한 상태였으므로 교정한다.
+ */
+class TemplateServiceSanitizePathTest extends TestCase
+{
+    /**
+     * sanitizePath() 를 리플렉션으로 호출합니다.
+     *
+     * @param  string  $path  정제할 경로
+     * @return string 정제 결과
+     */
+    private function sanitize(string $path): string
+    {
+        $method = new ReflectionMethod(TemplateService::class, 'sanitizePath');
+        $method->setAccessible(true);
+
+        return $method->invoke(app(TemplateService::class), $path);
+    }
+
+    /**
+     * 중첩 패턴이 탈출 시퀀스를 복원하지 않아야 한다.
+     *
+     * 수정 전에는 `....//` → `../` 로 복원되어 이 단언이 실패한다.
+     */
+    public function test_중첩_패턴이_상위_경로_시퀀스를_복원하지_않는다(): void
+    {
+        $payloads = [
+            '....//',
+            '....//....//etc/passwd',
+            '....\\\\',
+            '..../\\',
+            '....//...././/config.json',
+        ];
+
+        foreach ($payloads as $payload) {
+            $result = $this->sanitize($payload);
+
+            $this->assertStringNotContainsString('../', $result, "상위 경로 시퀀스 잔존: {$payload} → {$result}");
+            $this->assertStringNotContainsString('..\\', $result, "상위 경로 시퀀스 잔존: {$payload} → {$result}");
+        }
+    }
+
+    /**
+     * 단순 상위 경로 패턴은 기존대로 제거되어야 한다.
+     */
+    public function test_단순_상위_경로_패턴을_제거한다(): void
+    {
+        $this->assertStringNotContainsString('../', $this->sanitize('../../.env'));
+        $this->assertStringNotContainsString('..\\', $this->sanitize('..\\..\\.env'));
+    }
+
+    /**
+     * 절대 경로 선행 구분자를 제거해야 한다.
+     */
+    public function test_절대_경로_선행_구분자를_제거한다(): void
+    {
+        $this->assertSame('js/a.js', $this->sanitize('/js/a.js'));
+        $this->assertSame('js/a.js', $this->sanitize('\\js/a.js'));
+    }
+
+    /**
+     * 정상 경로는 변형하지 않아야 한다.
+     *
+     * 과잉 정제로 멀쩡한 자산 경로가 깨지면 안 된다.
+     */
+    public function test_정상_경로는_변형하지_않는다(): void
+    {
+        $this->assertSame('js/components.iife.js', $this->sanitize('js/components.iife.js'));
+        $this->assertSame('css/components.css', $this->sanitize('css/components.css'));
+        $this->assertSame('fonts/a.woff2', $this->sanitize('fonts/a.woff2'));
+        // 파일명에 포함된 점 두 개는 경로 탈출이 아니므로 보존
+        $this->assertSame('js/a..b.js', $this->sanitize('js/a..b.js'));
+    }
+}