Files
Gnuboard7/tests/Feature/Settings/UploadAllowedExtensionsContractTest.php
HeuJung d17ea28da5 fix(core,board,ecommerce,page,kginicis): 정책값 하드코딩·계약 분리 결함 일괄 수정
관리자 환경설정이 값을 저장은 하지만 실제 동작에는 닿지 않던 결함군을 정리했다.
설정 화면(min/max)·저장 검증(FormRequest)·런타임 적용(Service) 세 계층이 각자
리터럴을 들고 있어 서로 조용히 갈라지던 것이 공통 원인이다.

경계값 SSoT 도입:
- config/core.php `settings_limits` 를 단일 출처로 두고, FormRequest 는 이 값으로
 규칙을 만들고 화면은 설정 응답의 `_meta.limits` 로 같은 값을 받아 바인딩한다.
- 게시판·이커머스도 각 모듈 config 의 limits 를 동일 구조로 노출한다.

적용되지 않던 정책을 실제로 적용:
- 비밀번호 최소 길이·특수문자 필수(신규 지정 7개 경로. 로그인은 제외 — 정책을
 올렸을 때 기존 회원이 자기 계정에 접근조차 못 하는 데드락을 막기 위함)
- 계정 잠금 시간 0 = 무한대(전용 컬럼 분리. timestamp 상한과 NULL 규약 때문에
 기존 컬럼 재사용이 불가능하다) + 관리자 수동 해제 경로
- 업로드 최대 크기·허용 확장자, 게시판 첨부 개수·댓글 깊이, 페이지 첨부 정책,
 장바구니 수량·구매 한도, 마일리지 사용 한도, 주문 부가세

파생 결함:
- 큐 Job(sync 드라이버)이 진행 중인 요청의 Request 바인딩을 덮어써, 뒤이어 실행되는
 훅 리스너가 헤더를 잃고 조용히 건너뛰었다. Job 이 원 바인딩을 복원하도록 고치고,
 전송 헤더가 필요한 리스너는 동기 실행으로 선언한다.
- 확장 업데이트 실패 시 상태만 되돌리고 상태 캐시를 비우지 않아, 그 확장의 관리자
 화면만 캐시 TTL(기본 하루) 동안 404 로 남았다. 실패 경로에도 무효화를 대칭으로
 두고, 빈 목록 자체를 캐시하지 않는다.
- 글 작성 시 첨부 파일이 Service 로 전달되지 않아 검증·권한은 통과하고 첨부만 사라졌다.
- 환경설정 저장 실패 안내가 내부 설정 키를 그대로 노출했다(105개 항목에 라벨 부여).

재발 방지:
- audit 룰 3종(레이아웃 경계 리터럴 / FormRequest 경계 불일치 / Service 재클램프)
- 테스트 실행 범위 강제 훅(check-test-scope)
- 트러블슈팅 사례 2건(큐 Job 요청 오염 / 확장 상태 캐시 고착)

공개 이슈: gnuboard/g7
2026-07-30 07:52:24 +09:00

131 lines
4.8 KiB
PHP

<?php
namespace Tests\Feature\Settings;
use App\Contracts\Repositories\ConfigRepositoryInterface;
use App\Http\Requests\Settings\SaveSettingsRequest;
use App\Providers\SettingsServiceProvider;
use App\Repositories\JsonConfigRepository;
use App\Services\SettingsService;
use Illuminate\Foundation\Testing\RefreshDatabase;
use PHPUnit\Framework\Attributes\Test;
use ReflectionMethod;
use Tests\TestCase;
/**
* 업로드 허용 확장자 저장 계약 테스트 (#493 C2)
*
* 허용 확장자 칸은 콤마로 구분한 한 줄 텍스트다. 즉 관리자가 업로드 탭을 저장하면 이 값은
* 문자열로 들어온다. 그런데 설정을 실제 업로드 제한으로 옮기는 지점은 배열만 받아들여,
* 문자열이 오면 아무 말 없이 버렸다 — 관리자가 확장자를 바꿔도 업로드는 종전 목록으로
* 계속 동작한다. 저장도 성공하고 화면에도 값이 보이므로 어긋난 것을 알 방법이 없다.
*
* 저장 단계에서 배열로 정규화하고, 이미 문자열로 저장된 기존 설치도 반영되도록
* 적용 단계에서 문자열을 수용하는지 양쪽에서 확인한다.
*/
class UploadAllowedExtensionsContractTest extends TestCase
{
use RefreshDatabase;
/**
* 업로드 탭 저장 요청을 검증까지 통과시키고 검증 결과를 반환합니다.
*
* @param mixed $allowedExtensions 허용 확장자 입력값
* @return array 검증을 통과한 입력 데이터
*/
private function validatedUploadPayload(mixed $allowedExtensions): array
{
$request = SaveSettingsRequest::create('/api/admin/settings', 'POST', [
'_tab' => 'upload',
'upload' => [
'max_file_size' => 20,
'allowed_extensions' => $allowedExtensions,
],
]);
$request->setContainer($this->app)->validateResolved();
return $request->validated();
}
/**
* applyUploadConfig 를 리플렉션으로 호출합니다.
*
* @param array $uploadSettings upload 카테고리 설정 데이터
*/
private function applyUploadConfig(array $uploadSettings): void
{
$configRepository = $this->createMock(JsonConfigRepository::class);
$configRepository->method('getCategory')
->with('upload')
->willReturn($uploadSettings);
$provider = new SettingsServiceProvider($this->app);
$method = new ReflectionMethod($provider, 'applyUploadConfig');
$method->invoke($provider, $configRepository);
}
/**
* 화면이 보내는 콤마 문자열이 저장 단계에서 배열로 정규화되는지 확인합니다.
*/
#[Test]
public function comma_string_is_normalized_to_an_array_before_saving(): void
{
$validated = $this->validatedUploadPayload('JPG, .png ,pdf,,');
$this->assertSame(
['jpg', 'png', 'pdf'],
$validated['upload']['allowed_extensions'],
'허용 확장자 문자열이 배열로 정규화되지 않았습니다 — 저장돼도 업로드 제한에 반영되지 않습니다.'
);
}
/**
* 배열로 보내는 경로(API 직접 호출 등)도 같은 형태로 정규화되는지 확인합니다.
*/
#[Test]
public function array_input_is_normalized_the_same_way(): void
{
$validated = $this->validatedUploadPayload(['JPG', '.PNG', ' pdf ']);
$this->assertSame(['jpg', 'png', 'pdf'], $validated['upload']['allowed_extensions']);
}
/**
* 저장한 확장자 목록이 실제 업로드 제한으로 이어지는지 확인합니다 (저장 → 적용 전 구간).
*/
#[Test]
public function saved_extensions_reach_the_upload_restriction(): void
{
config(['attachment.allowed_extensions' => ['gif']]);
$validated = $this->validatedUploadPayload('jpg,png');
app(SettingsService::class)->saveSettings($validated);
$stored = app(ConfigRepositoryInterface::class)->getCategory('upload');
$this->assertSame(['jpg', 'png'], $stored['allowed_extensions']);
$this->applyUploadConfig($stored);
$this->assertSame(['jpg', 'png'], config('attachment.allowed_extensions'));
}
/**
* 이미 문자열로 저장된 기존 설치도 업로드 제한에 반영되는지 확인합니다.
*/
#[Test]
public function legacy_string_value_already_on_disk_is_still_applied(): void
{
config(['attachment.allowed_extensions' => ['gif']]);
$this->applyUploadConfig(['allowed_extensions' => 'JPG, .png , pdf']);
$this->assertSame(
['jpg', 'png', 'pdf'],
config('attachment.allowed_extensions'),
'문자열로 저장된 기존 설정이 업로드 제한에 반영되지 않았습니다.'
);
}
}