HeuJung
15cd4452bf
nginx 의 정규식 location 은 프리픽스 location 보다 먼저 매칭되므로, `location ~* \.(js|css|json)$` 블록이 있는 서버에서는 확장자 붙은 동적 엔드포인트가 `try_files ... /index.php` 폴백이 실행될 기회 없이 404 가 된다. aaPanel/CyberPanel/Plesk 기본 템플릿에 들어있어 드물지 않으며, 관리자 화면조차 뜨지 않아 "서버 설정을 고치세요" 안내가 순환 참조가 된다. 관례를 깬 쪽이 G7 이므로 해소 책임도 G7 에 두고, 두 형태를 모두 서빙한 뒤 환경에 따라 택일한다. 확장자 형태는 영구 유지한다 — 제거하면 URL 을 하드코딩한 서드파티 확장이 깨진다. - 라우트: dualSuffix / dualSuffixSegment / dualAsset 매크로로 23개 엔드포인트와 프로브를 이중 등록. 확장자 형태를 먼저 등록한다 — 확장자 없는 쪽이 더 느슨한 패턴이라 순서가 뒤집히면 `.json` 요청까지 삼킨다 - URL 생성: 서버 App\Support\AssetUrl, 프론트 core/support/assetUrl.ts 로 집약. 기본 모드에서 생성 결과는 치환 이전과 문자열까지 동일하다 (쿼리 순서 포함 — 순서가 바뀌면 의미는 같아도 HTTP 캐시 키가 갈린다) - 자가 복구: 부트스트랩 자산 로드 실패 시 확장자 없는 형태로 1회 단방향 전환. 역방향 금지 + 기존 재시도 예산 공유로 무한 왕복을 막는다 - 감지·전환: 인스톨러 프로브(설치 시 확정) / 관리자 환경설정 일반 탭 / g7:asset-url-mode. 판정은 상태코드가 아니라 매직 토큰 + Content-Type 으로 한다. 상태코드만 보면 "404 대신 200 + 에러 HTML" 환경에서 영원히 오판한다 - 봇은 JavaScript 를 실행하지 않아 자가 복구가 닿지 않으므로, 모드 변경 시 SEO 프리렌더 캐시를 비워 재생성시킨다 가드: audit 룰 2종(dynamic-route-static-extension / asset-url-builder-required), Playwright 6건(정적 블록 가로채기 시뮬레이션), 루프 방지 불변식 L1~L9 전수 red 증명. 부수 정리: 양 Composer 에 중복돼 있던 확장 에셋 수집 123줄을 트레이트로 통합하고, 자산 확장자 화이트리스트 누락(.map)과 경로 정규화 우회 가능성을 함께 교정. sir.kr 커뮤니티의 hang 님께서 제보해주셨습니다.
89 lines
3.2 KiB
PHP
89 lines
3.2 KiB
PHP
<?php
|
|
|
|
namespace Tests\Unit\Services;
|
|
|
|
use App\Services\TemplateService;
|
|
use ReflectionMethod;
|
|
use Tests\TestCase;
|
|
|
|
/**
|
|
* TemplateService::sanitizePath() 경로 정제 회귀 테스트 (이슈 #486 인접 결함 ③).
|
|
*
|
|
* 결함: `str_replace(['../', '..\\'], '', $path)` 1회성 치환은 제거 자체가 새 패턴을
|
|
* 만들어낸다. `....//` 는 가운데 `../` 가 제거되면서 `../` 로 복원된다.
|
|
*
|
|
* FormRequest 의 realpath 검사가 앞단에서 막고 있어 현재 악용은 불가하지만,
|
|
* 다층 방어의 한 계층이 무력한 상태였으므로 교정한다.
|
|
*/
|
|
class TemplateServiceSanitizePathTest extends TestCase
|
|
{
|
|
/**
|
|
* sanitizePath() 를 리플렉션으로 호출합니다.
|
|
*
|
|
* @param string $path 정제할 경로
|
|
* @return string 정제 결과
|
|
*/
|
|
private function sanitize(string $path): string
|
|
{
|
|
$method = new ReflectionMethod(TemplateService::class, 'sanitizePath');
|
|
$method->setAccessible(true);
|
|
|
|
return $method->invoke(app(TemplateService::class), $path);
|
|
}
|
|
|
|
/**
|
|
* 중첩 패턴이 탈출 시퀀스를 복원하지 않아야 한다.
|
|
*
|
|
* 수정 전에는 `....//` → `../` 로 복원되어 이 단언이 실패한다.
|
|
*/
|
|
public function test_중첩_패턴이_상위_경로_시퀀스를_복원하지_않는다(): void
|
|
{
|
|
$payloads = [
|
|
'....//',
|
|
'....//....//etc/passwd',
|
|
'....\\\\',
|
|
'..../\\',
|
|
'....//...././/config.json',
|
|
];
|
|
|
|
foreach ($payloads as $payload) {
|
|
$result = $this->sanitize($payload);
|
|
|
|
$this->assertStringNotContainsString('../', $result, "상위 경로 시퀀스 잔존: {$payload} → {$result}");
|
|
$this->assertStringNotContainsString('..\\', $result, "상위 경로 시퀀스 잔존: {$payload} → {$result}");
|
|
}
|
|
}
|
|
|
|
/**
|
|
* 단순 상위 경로 패턴은 기존대로 제거되어야 한다.
|
|
*/
|
|
public function test_단순_상위_경로_패턴을_제거한다(): void
|
|
{
|
|
$this->assertStringNotContainsString('../', $this->sanitize('../../.env'));
|
|
$this->assertStringNotContainsString('..\\', $this->sanitize('..\\..\\.env'));
|
|
}
|
|
|
|
/**
|
|
* 절대 경로 선행 구분자를 제거해야 한다.
|
|
*/
|
|
public function test_절대_경로_선행_구분자를_제거한다(): void
|
|
{
|
|
$this->assertSame('js/a.js', $this->sanitize('/js/a.js'));
|
|
$this->assertSame('js/a.js', $this->sanitize('\\js/a.js'));
|
|
}
|
|
|
|
/**
|
|
* 정상 경로는 변형하지 않아야 한다.
|
|
*
|
|
* 과잉 정제로 멀쩡한 자산 경로가 깨지면 안 된다.
|
|
*/
|
|
public function test_정상_경로는_변형하지_않는다(): void
|
|
{
|
|
$this->assertSame('js/components.iife.js', $this->sanitize('js/components.iife.js'));
|
|
$this->assertSame('css/components.css', $this->sanitize('css/components.css'));
|
|
$this->assertSame('fonts/a.woff2', $this->sanitize('fonts/a.woff2'));
|
|
// 파일명에 포함된 점 두 개는 경로 탈출이 아니므로 보존
|
|
$this->assertSame('js/a..b.js', $this->sanitize('js/a..b.js'));
|
|
}
|
|
}
|