HeuJung
c4beb116ad
서버가 외부 입력으로 목적지가 제어되는 outbound HTTP 요청을 보내는 지점을 전수 조사해, 내부망(사설 IP·루프백·링크로컬·메타데이터)과 host 위조를 차단한다. KVE-2026-1546(이니시스 인증 URL 접두사 매칭 우회)과 동일 클래스의 지점(언어팩 URL 설치, 스케줄 URL 호출, 배송비 계산 API, GitHub URL 판정)을 코어 공용 유틸 App\Support\OutboundUrlValidator 로 수렴시켰다. - 접두사 매칭을 host 완전일치로 교체 — userinfo(@) 위장과 접미사 확장 도메인 우회 벡터 차단. - 사내 서버 호출이 정당한 관리자 지점(스케줄·외부 API)은 신규 설정 security.allow_internal_outbound_urls(기본 off)로 옵트인. - 언어팩 URL 설치는 원격 코드 다운로드라 옵트인과 무관하게 내부 주소 항상 차단. - 웹소켓 연결 테스트는 localhost·사설 IP 가 정상 구성이므로 구조적 위조만 차단. 각 지점에 red 재현 → 수정 → green 회귀 테스트 + 실브라우저 E2E 로 검증. 수기 API 문서가 자동 재생성으로 소실되는 사고를 막는 PreToolUse 훅을 함께 추가한다.
56 lines
1.6 KiB
PHP
56 lines
1.6 KiB
PHP
<?php
|
|
|
|
namespace App\Http\Requests\LanguagePack;
|
|
|
|
use App\Extension\HookManager;
|
|
use App\Rules\PublicOutboundUrl;
|
|
use Illuminate\Foundation\Http\FormRequest;
|
|
|
|
/**
|
|
* 임의 URL 을 통한 언어팩 설치 요청.
|
|
*/
|
|
class InstallFromUrlRequest extends FormRequest
|
|
{
|
|
/**
|
|
* 권한 체크는 라우트 미들웨어가 담당.
|
|
*
|
|
* @return bool 항상 true
|
|
*/
|
|
public function authorize(): bool
|
|
{
|
|
return true;
|
|
}
|
|
|
|
/**
|
|
* 검증 규칙을 정의합니다.
|
|
*
|
|
* @return array<string, mixed> 검증 규칙
|
|
*/
|
|
public function rules(): array
|
|
{
|
|
$rules = [
|
|
// 원격 코드를 내려받는 지점이므로 https 고정 + 내부 주소 허용 설정과 무관하게 항상 차단
|
|
'url' => ['required', 'url', 'max:500', new PublicOutboundUrl(schemes: ['https'], allowInternalOptIn: false)],
|
|
'checksum' => ['nullable', 'string', 'regex:/^[a-f0-9]{64}$/i'],
|
|
'auto_activate' => ['nullable', 'boolean'],
|
|
];
|
|
|
|
// 모듈/플러그인이 validation rules 를 동적으로 추가할 수 있도록 훅 제공
|
|
return HookManager::applyFilters('core.language_packs.install_from_url_validation_rules', $rules, $this);
|
|
}
|
|
|
|
/**
|
|
* 검증 메시지를 정의합니다.
|
|
*
|
|
* @return array<string, string> 검증 메시지
|
|
*/
|
|
public function messages(): array
|
|
{
|
|
return [
|
|
'url.required' => __('language_packs.validation.url_required'),
|
|
'url.url' => __('language_packs.validation.url_invalid'),
|
|
'checksum.regex' => __('language_packs.validation.checksum_invalid'),
|
|
];
|
|
}
|
|
}
|