fix(security): 배포본 소스맵 노출 차단 + 관리자 설정 탭 지연로딩 + 동반 결함 수정

## 소스맵 노출 차단 (공개 이슈 ) 배포본에 .map 이 포함돼 원본 TS/TSX 전문(sourcesContent, 한글 주석 포함)이 그대로 노출됐다. 생성·서빙·저장소 유입 3계층을 모두 막는다. - 빌드 config 15곳(코어 3 + _bundled 12): sourcemap 하드코딩 제거. G7_BUILD_SOURCEMAP 판정식으로 교체 — 미설정(로컬 npm run build)이면 생성해 개발 디버깅 경험을 보존하고, 0 이면 미생성. - Build{Core,Module,Plugin,Template}Command: 죽어 있던 --production 플래그 복구. $productionMode 를 콘솔 문자열에만 쓰고 npm 프로세스에 env 를 넘기지 않아 산출물이 개발 빌드와 동일했다. runNpmCommand 에 $env 를 추가해 주입 (--watch 에는 미주입). Symfony Process 는 부모 환경에 병합하므로 PATH 유실 없음. - Allowed{Module,Plugin}FileType / {Module,Plugin}Service::getMimeType: 허용 확장자 map 제거 — 익명 200 서빙 차단(템플릿은 원래 미허용, 3종 정책 일치). - ExtensionBundleService: CSS 번들의 /*# sourceMappingURL=... */ strip 추가. CSS 는 블록 주석이라 JS 의 //# 패턴으로는 검출되지 않던 구멍. - 추적 .map 13개 삭제 + .gitignore 전역 *.map 규칙(경로 한정 시 새 확장에서 누락). 실측: 산출 JS 의 sourceMappingURL 13 → 0, 추적 .map 13 → 0, 확장 디렉토리 npm run build 는 여전히 map 생성(개발 경험 회귀 없음). ## 관리자 환경설정 탭 지연 로딩 코어/이커머스/게시판 환경설정 화면이 진입 즉시 전 탭의 데이터소스를 한꺼번에 호출했다. 각 데이터소스에 활성 탭 조건(if)을 걸어 해당 탭에서만 fetch 하도록 변경하고, 결제 플러그인 3종의 테스트모드 상태 조회도 주문설정 탭으로 한정. ## 동반 결함 수정 (무관 결함 — 재발 방지 목적으로 같은 세션 처리) - 나이스페이먼츠: 체크아웃 캐시 프리페치가 라우트를 가리지 않아 플러그인 번들이 로드되는 모든 페이지(홈/게시판/로그인)에서 주문서를 조회 → 비회원 매번 422. 형제 플러그인(kginicis)의 기존 가드 패턴을 적용해 체크아웃 경로로 한정. - admin smoke 8건: 대부분 구현이 아니라 테스트 결함이었다 — URL 오타(단수 board), 존재하지 않는 권한키, 앱 로케일이 en 인데 한국어 라벨 로케이터, DataGrid 버튼을 먼저 잡던 휴리스틱 로케이터. 레이아웃에는 sticky className / 안정 id 를 부여. - PHPDoc ↔ Pint 충돌 3건: 설명 없는 @param 은 no_superfluous_phpdoc_tags 가 삭제해 audit phpdoc-public-method 와 무한 충돌. 한국어 설명을 붙여 양쪽 충족 (리스너 3종의 설명 누락 메서드도 전수 보강). - Log::spy 500 3건: spy 가 Log::channel('activity') 를 null 로 만들고 logActivity 가 null->info 로 \Error → 같은 줄 catch(\Exception) 은 못 잡아 통과. 운영에선 채널이 항상 로거이므로 제품 무결 → 테스트에 activity 채널 보존 헬퍼 추가. - NhnKcpApiServiceTest 5건: 스텁이 Unix 바이너리만 만들어 Windows 분기 (pp_cli_exe.exe)에서만 실패. #!/bin/sh 는 Windows 실행 불가 → 파일 내 기존 컨벤션대로 skip 가드. ## 테스트 - 소스맵 범위 130 passed (신규: BuildCommandSourcemapEnv, NoSourcemapArtifacts, ExtensionBundleService CSS strip, Allowed*FileType 반전, 자산 서빙 거부) - 결제 3플러그인 505 passed / 0 failed (skipped 9 = Windows 전용 CLI, 사유 명시) - 나이스페이먼츠 프론트 38 passed (가드 제거 시 red 실증 후 복원) - E2E: production-sourcemap-exposure.spec.ts 6건 + 시나리오 매니페스트 버전: sirsoft-admin_basic 1.0.2 → 1.0.3, sirsoft-board 1.0.1 → 1.0.2 (각 manifest/package/lock/composer 동기화). 코어 7.0.4 는 미출시 누적.
2026-07-14 12:50:23 +09:00
1 parent 84ca40f0d8
commit 90f154ecc0
@@ -0,0 +1,133 @@
+<?php
+
+namespace Tests\Unit\Extension;
+
+use App\Console\Commands\Core\BuildCoreCommand;
+use App\Console\Commands\Module\BuildModuleCommand;
+use App\Console\Commands\Plugin\BuildPluginCommand;
+use App\Console\Commands\Template\BuildTemplateCommand;
+use PHPUnit\Framework\Attributes\DataProvider;
+use ReflectionMethod;
+use ReflectionNamedType;
+use Symfony\Component\Process\Process;
+use Tests\TestCase;
+
+/**
+ * 빌드 커맨드 소스맵 억제 환경변수 주입 테스트
+ *
+ * `--production` 빌드는 소스맵을 생성하지 않아야 한다. 소스맵에는 원본 코드
+ * 전문(sourcesContent)이 담기므로 배포 산출물에 포함되면 코드가 그대로 노출된다.
+ *
+ * 판정 신호는 각 vite config 가 읽는 `G7_BUILD_SOURCEMAP` 환경변수이며,
+ * 빌드 커맨드가 이 값을 npm 프로세스에 주입하는 책임을 진다. 실제 npm 실행 없이
+ * 주입 지점(buildEnv) 과 전달 통로(runNpmCommand 시그니처) 를 검증한다.
+ */
+class BuildCommandSourcemapEnvTest extends TestCase
+{
+    /**
+     * 빌드 커맨드 클래스 목록
+     *
+     * @return array<string, array{class-string}>
+     */
+    public static function buildCommandProvider(): array
+    {
+        return [
+            'core' => [BuildCoreCommand::class],
+            'module' => [BuildModuleCommand::class],
+            'plugin' => [BuildPluginCommand::class],
+            'template' => [BuildTemplateCommand::class],
+        ];
+    }
+
+    /**
+     * 프로덕션 빌드 시 소스맵 억제 환경변수가 주입되는지 테스트
+     *
+     * @param  class-string  $commandClass  빌드 커맨드 클래스
+     */
+    #[DataProvider('buildCommandProvider')]
+    public function test_production_build_injects_sourcemap_off_env(string $commandClass): void
+    {
+        $env = $this->invokeBuildEnv($commandClass, productionMode: true);
+
+        $this->assertSame(['G7_BUILD_SOURCEMAP' => '0'], $env);
+    }
+
+    /**
+     * 일반(비프로덕션) 빌드에는 환경변수를 주입하지 않는지 테스트
+     *
+     * 미주입 시 vite config 의 기본값이 적용되어 소스맵이 생성된다.
+     * 개발자가 확장 디렉토리에서 `npm run build` 를 직접 치는 흐름과 동일하게 유지된다.
+     *
+     * @param  class-string  $commandClass  빌드 커맨드 클래스
+     */
+    #[DataProvider('buildCommandProvider')]
+    public function test_non_production_build_injects_nothing(string $commandClass): void
+    {
+        $env = $this->invokeBuildEnv($commandClass, productionMode: false);
+
+        $this->assertSame([], $env);
+    }
+
+    /**
+     * runNpmCommand() 가 env 를 전달받을 수 있는 시그니처인지 테스트
+     *
+     * buildEnv() 가 올바른 값을 만들어도 runNpmCommand() 가 이를 받지 못하면
+     * 주입이 프로세스까지 도달하지 못한다(이번 이슈 이전의 죽은 `--production` 상태).
+     *
+     * @param  class-string  $commandClass  빌드 커맨드 클래스
+     */
+    #[DataProvider('buildCommandProvider')]
+    public function test_run_npm_command_accepts_env_argument(string $commandClass): void
+    {
+        $method = new ReflectionMethod($commandClass, 'runNpmCommand');
+        $params = $method->getParameters();
+
+        $envParam = null;
+        foreach ($params as $param) {
+            if ($param->getName() === 'env') {
+                $envParam = $param;
+                break;
+            }
+        }
+
+        $this->assertNotNull($envParam, "{$commandClass}::runNpmCommand() 에 env 파라미터가 없습니다.");
+
+        $type = $envParam->getType();
+        $this->assertInstanceOf(ReflectionNamedType::class, $type);
+        $this->assertSame('array', $type->getName());
+        $this->assertTrue($envParam->isDefaultValueAvailable(), 'env 는 기본값을 가져야 한다(기존 호출부 호환).');
+        $this->assertSame([], $envParam->getDefaultValue());
+    }
+
+    /**
+     * Symfony Process 가 지정한 env 를 부모 환경에 병합하는지 테스트
+     *
+     * setEnv() 가 부모 환경을 대체(replace)한다면 PATH 가 소실되어 npm 실행 자체가
+     * 깨진다. 추가분만 넘기는 현재 구현의 전제를 고정한다.
+     */
+    public function test_process_env_merges_with_parent_environment(): void
+    {
+        $process = new Process(['echo', 'test']);
+        $process->setEnv(['G7_BUILD_SOURCEMAP' => '0']);
+
+        $this->assertSame(['G7_BUILD_SOURCEMAP' => '0'], $process->getEnv());
+
+        // PATH 는 부모 환경에서 상속되므로 setEnv 로 지우지 않는다.
+        $this->assertNotEmpty(getenv('PATH') ?: getenv('Path'), '부모 환경에 PATH 가 있어야 병합 전제가 성립한다.');
+    }
+
+    /**
+     * 커맨드의 private buildEnv() 를 호출합니다.
+     *
+     * @param  class-string  $commandClass  빌드 커맨드 클래스
+     * @param  bool  $productionMode  프로덕션 빌드 여부
+     * @return array<string, string> 주입될 환경변수
+     */
+    private function invokeBuildEnv(string $commandClass, bool $productionMode): array
+    {
+        $command = app($commandClass);
+        $method = new ReflectionMethod($commandClass, 'buildEnv');
+
+        return $method->invoke($command, $productionMode);
+    }
+}
@@ -0,0 +1,98 @@
+<?php
+
+namespace Tests\Unit\Extension;
+
+use Symfony\Component\Process\Process;
+use Tests\TestCase;
+
+/**
+ * 소스맵 산출물 재유입 회귀 가드
+ *
+ * 소스맵(.map)에는 원본 TS/TSX 전문(sourcesContent)이 담긴다. 저장소에 유입되면
+ * 그대로 공개 배포판(release)에 실려 코드가 노출된다.
+ *
+ * 방어선은 두 겹이다:
+ *   1) 빌드 단계 — `--production` 이 G7_BUILD_SOURCEMAP=0 을 주입해 생성 자체를 차단
+ *   2) 저장소 단계 — .gitignore 의 전역 `*.map` 규칙으로 유입 차단
+ *
+ * 이 테스트는 (2)가 실효적인지, 그리고 추적 중인 산출 JS 에 맵 참조 주석이
+ * 남아 있지 않은지를 고정한다. 새 확장이 추가될 때 조용히 누락되는 것을 막는다.
+ */
+class NoSourcemapArtifactsTest extends TestCase
+{
+    /**
+     * git 추적 파일 중 .map 이 하나도 없는지 테스트
+     */
+    public function test_no_sourcemap_files_are_tracked_by_git(): void
+    {
+        $tracked = $this->git(['ls-files', '*.map']);
+
+        $this->assertSame(
+            [],
+            $tracked,
+            "소스맵이 git 에 추적되고 있습니다. 원본 코드가 배포판에 노출됩니다:\n  ".
+            implode("\n  ", $tracked)
+        );
+    }
+
+    /**
+     * .gitignore 가 소스맵을 실제로 무시하는지 테스트
+     *
+     * 규칙이 존재해도 다른 규칙에 의해 무력화될 수 있으므로 git 에 직접 판정시킨다.
+     */
+    public function test_gitignore_actually_ignores_sourcemap_files(): void
+    {
+        $probe = 'public/build/core/__sourcemap_guard_probe__.js.map';
+
+        $result = $this->git(['check-ignore', $probe]);
+
+        $this->assertContains(
+            $probe,
+            $result,
+            '.gitignore 가 .map 을 무시하지 않습니다. 빌드 산출 소스맵이 저장소에 유입될 수 있습니다.'
+        );
+    }
+
+    /**
+     * 추적 중인 빌드 산출 JS 에 sourceMappingURL 주석이 없는지 테스트
+     *
+     * 주석만 남고 .map 이 없으면 브라우저가 404 를 일으키고, 주석과 .map 이 함께
+     * 있으면 원본이 노출된다. 배포 산출물에는 둘 다 없어야 한다.
+     *
+     * 판정 대상은 워킹트리(= 지금 배포하면 나갈 상태)다. HEAD(직전 커밋)를 보면
+     * 워킹트리에서 이미 고친 내용을 반영하지 못한다.
+     */
+    public function test_tracked_build_output_has_no_source_mapping_url(): void
+    {
+        $offenders = $this->git([
+            'grep', '--files-with-matches', 'sourceMappingURL', '--',
+            'public/build/core/*.js',
+            'modules/_bundled/*/dist/js/*.js',
+            'plugins/_bundled/*/dist/js/*.js',
+            'templates/_bundled/*/dist/js/*.js',
+        ]);
+
+        $this->assertSame(
+            [],
+            $offenders,
+            "배포 산출 JS 에 소스맵 참조 주석이 남아 있습니다(--production 재빌드 필요):\n  ".
+            implode("\n  ", $offenders)
+        );
+    }
+
+    /**
+     * git 명령을 실행하고 출력 라인 배열을 반환합니다.
+     *
+     * @param  array<int, string>  $args  git 인자
+     * @return array<int, string> 출력 라인 (빈 줄 제외)
+     */
+    private function git(array $args): array
+    {
+        $process = new Process(array_merge(['git'], $args), base_path());
+        $process->run();
+
+        $lines = preg_split('/\R/', trim($process->getOutput())) ?: [];
+
+        return array_values(array_filter($lines, fn (string $line): bool => $line !== ''));
+    }
+}
@@ -13,7 +13,7 @@ class AllowedModuleFileTypeTest extends TestCase
     */
    public function test_allows_javascript_files(): void
    {
-        $rule = new AllowedModuleFileType();
+        $rule = new AllowedModuleFileType;

        $jsFiles = ['dist/js/module.iife.js', 'app.js', 'script.mjs'];

@@ -32,7 +32,7 @@ class AllowedModuleFileTypeTest extends TestCase
     */
    public function test_allows_css_files(): void
    {
-        $rule = new AllowedModuleFileType();
+        $rule = new AllowedModuleFileType;
        $validator = Validator::make(
            ['path' => 'dist/css/module.css'],
            ['path' => $rule]
@@ -46,7 +46,7 @@ class AllowedModuleFileTypeTest extends TestCase
     */
    public function test_allows_json_files(): void
    {
-        $rule = new AllowedModuleFileType();
+        $rule = new AllowedModuleFileType;
        $validator = Validator::make(
            ['path' => 'data/config.json'],
            ['path' => $rule]
@@ -56,17 +56,20 @@ class AllowedModuleFileTypeTest extends TestCase
    }

    /**
-     * Source Map 파일이 허용되는지 테스트
+     * Source Map 파일이 차단되는지 테스트
+     *
+     * 소스맵에는 원본 코드 전문(sourcesContent)이 담기므로 서빙되면 안 된다.
+     * 플러그인/템플릿과 동일한 정책이다.
     */
-    public function test_allows_sourcemap_files(): void
+    public function test_blocks_sourcemap_files(): void
    {
-        $rule = new AllowedModuleFileType();
+        $rule = new AllowedModuleFileType;
        $validator = Validator::make(
            ['path' => 'dist/js/module.iife.js.map'],
            ['path' => $rule]
        );

-        $this->assertTrue($validator->passes());
+        $this->assertFalse($validator->passes());
    }

    /**
@@ -74,7 +77,7 @@ class AllowedModuleFileTypeTest extends TestCase
     */
    public function test_allows_image_files(): void
    {
-        $rule = new AllowedModuleFileType();
+        $rule = new AllowedModuleFileType;
        $imageFiles = [
            'images/logo.png',
            'images/photo.jpg',
@@ -100,7 +103,7 @@ class AllowedModuleFileTypeTest extends TestCase
     */
    public function test_allows_font_files(): void
    {
-        $rule = new AllowedModuleFileType();
+        $rule = new AllowedModuleFileType;
        $fontFiles = [
            'fonts/roboto.woff',
            'fonts/roboto.woff2',
@@ -124,7 +127,7 @@ class AllowedModuleFileTypeTest extends TestCase
     */
    public function test_blocks_php_files(): void
    {
-        $rule = new AllowedModuleFileType();
+        $rule = new AllowedModuleFileType;
        $phpFiles = ['malicious.php', 'index.phtml', 'shell.php3', 'backdoor.php4', 'exploit.php5', 'hack.phps'];

        foreach ($phpFiles as $file) {
@@ -142,7 +145,7 @@ class AllowedModuleFileTypeTest extends TestCase
     */
    public function test_blocks_executable_files(): void
    {
-        $rule = new AllowedModuleFileType();
+        $rule = new AllowedModuleFileType;
        $executableFiles = ['malware.exe', 'script.sh', 'run.bat', 'library.dll', 'module.so'];

        foreach ($executableFiles as $file) {
@@ -160,7 +163,7 @@ class AllowedModuleFileTypeTest extends TestCase
     */
    public function test_blocks_script_files(): void
    {
-        $rule = new AllowedModuleFileType();
+        $rule = new AllowedModuleFileType;
        $scriptFiles = ['exploit.py', 'attack.rb', 'hack.pl', 'malicious.cgi'];

        foreach ($scriptFiles as $file) {
@@ -178,7 +181,7 @@ class AllowedModuleFileTypeTest extends TestCase
     */
    public function test_blocks_server_script_files(): void
    {
-        $rule = new AllowedModuleFileType();
+        $rule = new AllowedModuleFileType;
        $serverScriptFiles = ['page.asp', 'app.aspx', 'index.jsp', 'api.jspx'];

        foreach ($serverScriptFiles as $file) {
@@ -196,7 +199,7 @@ class AllowedModuleFileTypeTest extends TestCase
     */
    public function test_blocks_config_files(): void
    {
-        $rule = new AllowedModuleFileType();
+        $rule = new AllowedModuleFileType;
        $configFiles = ['.htaccess', '.htpasswd', '.env'];

        foreach ($configFiles as $file) {
@@ -214,7 +217,7 @@ class AllowedModuleFileTypeTest extends TestCase
     */
    public function test_case_insensitive_blocking(): void
    {
-        $rule = new AllowedModuleFileType();
+        $rule = new AllowedModuleFileType;
        $caseVariations = ['MALICIOUS.PHP', 'Exploit.Php', 'SCRIPT.EXE', 'attack.PY'];

        foreach ($caseVariations as $file) {
@@ -238,9 +241,10 @@ class AllowedModuleFileTypeTest extends TestCase
        $this->assertContains('js', $extensions);
        $this->assertContains('css', $extensions);
        $this->assertContains('json', $extensions);
-        $this->assertContains('map', $extensions);
        $this->assertContains('png', $extensions);
        $this->assertContains('woff2', $extensions);
+        // 소스맵은 원본 코드가 노출되므로 허용 목록에서 제외 (플러그인/템플릿과 동일)
+        $this->assertNotContains('map', $extensions);
    }

    /**
@@ -248,7 +252,7 @@ class AllowedModuleFileTypeTest extends TestCase
     */
    public function test_blocks_non_string_value(): void
    {
-        $rule = new AllowedModuleFileType();
+        $rule = new AllowedModuleFileType;
        $validator = Validator::make(
            ['path' => ['array', 'value']],
            ['path' => $rule]
@@ -13,7 +13,7 @@ class AllowedPluginFileTypeTest extends TestCase
     */
    public function test_allows_javascript_files(): void
    {
-        $rule = new AllowedPluginFileType();
+        $rule = new AllowedPluginFileType;

        $jsFiles = ['dist/js/plugin.iife.js', 'app.js', 'script.mjs'];

@@ -32,7 +32,7 @@ class AllowedPluginFileTypeTest extends TestCase
     */
    public function test_allows_css_files(): void
    {
-        $rule = new AllowedPluginFileType();
+        $rule = new AllowedPluginFileType;
        $validator = Validator::make(
            ['path' => 'dist/css/plugin.css'],
            ['path' => $rule]
@@ -46,7 +46,7 @@ class AllowedPluginFileTypeTest extends TestCase
     */
    public function test_allows_json_files(): void
    {
-        $rule = new AllowedPluginFileType();
+        $rule = new AllowedPluginFileType;
        $validator = Validator::make(
            ['path' => 'data/config.json'],
            ['path' => $rule]
@@ -56,17 +56,20 @@ class AllowedPluginFileTypeTest extends TestCase
    }

    /**
-     * Source Map 파일이 허용되는지 테스트
+     * Source Map 파일이 차단되는지 테스트
+     *
+     * 소스맵에는 원본 코드 전문(sourcesContent)이 담기므로 서빙되면 안 된다.
+     * 모듈/템플릿과 동일한 정책이다.
     */
-    public function test_allows_sourcemap_files(): void
+    public function test_blocks_sourcemap_files(): void
    {
-        $rule = new AllowedPluginFileType();
+        $rule = new AllowedPluginFileType;
        $validator = Validator::make(
            ['path' => 'dist/js/plugin.iife.js.map'],
            ['path' => $rule]
        );

-        $this->assertTrue($validator->passes());
+        $this->assertFalse($validator->passes());
    }

    /**
@@ -74,7 +77,7 @@ class AllowedPluginFileTypeTest extends TestCase
     */
    public function test_allows_image_files(): void
    {
-        $rule = new AllowedPluginFileType();
+        $rule = new AllowedPluginFileType;
        $imageFiles = [
            'images/logo.png',
            'images/photo.jpg',
@@ -100,7 +103,7 @@ class AllowedPluginFileTypeTest extends TestCase
     */
    public function test_allows_font_files(): void
    {
-        $rule = new AllowedPluginFileType();
+        $rule = new AllowedPluginFileType;
        $fontFiles = [
            'fonts/roboto.woff',
            'fonts/roboto.woff2',
@@ -124,7 +127,7 @@ class AllowedPluginFileTypeTest extends TestCase
     */
    public function test_blocks_php_files(): void
    {
-        $rule = new AllowedPluginFileType();
+        $rule = new AllowedPluginFileType;
        $phpFiles = ['malicious.php', 'index.phtml', 'shell.php3', 'backdoor.php4', 'exploit.php5', 'hack.phps'];

        foreach ($phpFiles as $file) {
@@ -142,7 +145,7 @@ class AllowedPluginFileTypeTest extends TestCase
     */
    public function test_blocks_executable_files(): void
    {
-        $rule = new AllowedPluginFileType();
+        $rule = new AllowedPluginFileType;
        $executableFiles = ['malware.exe', 'script.sh', 'run.bat', 'library.dll', 'module.so'];

        foreach ($executableFiles as $file) {
@@ -160,7 +163,7 @@ class AllowedPluginFileTypeTest extends TestCase
     */
    public function test_blocks_script_files(): void
    {
-        $rule = new AllowedPluginFileType();
+        $rule = new AllowedPluginFileType;
        $scriptFiles = ['exploit.py', 'attack.rb', 'hack.pl', 'malicious.cgi'];

        foreach ($scriptFiles as $file) {
@@ -178,7 +181,7 @@ class AllowedPluginFileTypeTest extends TestCase
     */
    public function test_blocks_server_script_files(): void
    {
-        $rule = new AllowedPluginFileType();
+        $rule = new AllowedPluginFileType;
        $serverScriptFiles = ['page.asp', 'app.aspx', 'index.jsp', 'api.jspx'];

        foreach ($serverScriptFiles as $file) {
@@ -196,7 +199,7 @@ class AllowedPluginFileTypeTest extends TestCase
     */
    public function test_blocks_config_files(): void
    {
-        $rule = new AllowedPluginFileType();
+        $rule = new AllowedPluginFileType;
        $configFiles = ['.htaccess', '.htpasswd', '.env'];

        foreach ($configFiles as $file) {
@@ -214,7 +217,7 @@ class AllowedPluginFileTypeTest extends TestCase
     */
    public function test_case_insensitive_blocking(): void
    {
-        $rule = new AllowedPluginFileType();
+        $rule = new AllowedPluginFileType;
        $caseVariations = ['MALICIOUS.PHP', 'Exploit.Php', 'SCRIPT.EXE', 'attack.PY'];

        foreach ($caseVariations as $file) {
@@ -238,9 +241,10 @@ class AllowedPluginFileTypeTest extends TestCase
        $this->assertContains('js', $extensions);
        $this->assertContains('css', $extensions);
        $this->assertContains('json', $extensions);
-        $this->assertContains('map', $extensions);
        $this->assertContains('png', $extensions);
        $this->assertContains('woff2', $extensions);
+        // 소스맵은 원본 코드가 노출되므로 허용 목록에서 제외 (모듈/템플릿과 동일)
+        $this->assertNotContains('map', $extensions);
    }

    /**
@@ -248,7 +252,7 @@ class AllowedPluginFileTypeTest extends TestCase
     */
    public function test_blocks_non_string_value(): void
    {
-        $rule = new AllowedPluginFileType();
+        $rule = new AllowedPluginFileType;
        $validator = Validator::make(
            ['path' => ['array', 'value']],
            ['path' => $rule]
@@ -189,6 +189,39 @@ class ExtensionBundleServiceTest extends TestCase
        $this->assertStringContainsString('sourceMappingURL=/api/modules/assets/ext-a/dist/js/a.js.map', $js);
    }

+    public function test_prod_strips_css_source_mapping_url(): void
+    {
+        $this->app['env'] = 'production';
+        app()->detectEnvironment(fn () => 'production');
+
+        // CSS 는 JS 와 주석 문법이 달라 블록 주석으로 맵을 참조한다.
+        $css = $this->writeFixture('a.css', ".a{color:red}\n/*# sourceMappingURL=a.css.map */");
+
+        $this->moduleManager->shouldReceive('getActiveModules')->andReturn([
+            'ext-a' => $this->fakeExtension('ext-a', 10, null, $css),
+        ]);
+
+        $bundle = $this->service()->buildCssBundle('module');
+
+        $this->assertStringNotContainsString('sourceMappingURL', $bundle);
+        // 스타일 본문은 보존되어야 한다 (주석만 제거)
+        $this->assertStringContainsString('.a{color:red}', $bundle);
+    }
+
+    public function test_dev_keeps_css_source_mapping_url(): void
+    {
+        // 기본 testing 환경 = 비프로덕션 → 개발 디버깅을 위해 원본 유지
+        $css = $this->writeFixture('a.css', ".a{color:red}\n/*# sourceMappingURL=a.css.map */");
+
+        $this->moduleManager->shouldReceive('getActiveModules')->andReturn([
+            'ext-a' => $this->fakeExtension('ext-a', 10, null, $css),
+        ]);
+
+        $bundle = $this->service()->buildCssBundle('module');
+
+        $this->assertStringContainsString('sourceMappingURL', $bundle);
+    }
+
    public function test_per_extension_fault_tolerance_skips_missing_file(): void
    {
        $good = $this->writeFixture('good.js', '(function(){window.GOOD=1})()');