HeuJung
d6e1f98a4f
오토로드 캐시(psr4)가 공집합으로 덮어써져 모든 모듈/플러그인 컨트롤러가 해석 불가능해지고 확장 화면 전체가 500 이 됐다. 이 매핑은 "DB 설치 목록 × 디스크 활성 디렉토리" 교집합이라 DB 쪽만 일시적으로 비어도(테이블 부재· 설치 중간 실패·testing DB) 정상 매핑이 통째로 소실된다. 코어 라우트는 200 인데 확장 라우트만 전부 500 인 비대칭이 이 결함의 진단 단서다. - 디스크에 확장 디렉토리가 남아 있는데 매핑이 0건이면 기록하지 않고 보존. 정상적인 0건(신규 설치·마지막 확장 삭제)은 디스크도 함께 비어 통과한다 - generateAutoloadFile 에 testing 실 캐시 경로 쓰기 차단. updateComposerAutoload 에만 있던 가드를 생성기 자체로 옮겨 어느 경로로 들어와도 막히게 했다 - extension:update-autoload 가 훅 캐시 재생성 전에 런타임 오토로드를 재등록. 미재등록 시 깨진 매핑으로 훅 캐시가 modules/plugins 0건으로 생성되어 확장 훅이 조용히 사라지고, 복구에 커맨드 2회 실행이 필요했다 소스맵 서빙은 에서 차단했으나 이번 브랜치에서 화이트리스트에 재추가되어 운영에서 원본 코드 전문(sourcesContent)이 노출될 수 있었다. 이 화이트리스트가 확장 에셋 서빙의 유일한 방어선이다. dev 빌드의 sourceMappingURL 404 를 피하면서 운영을 막도록 local 환경에서만 허용하도록 분기하고, 산출물을 production 으로 재빌드해 docroot 에 남아 있던 소스맵을 제거했다. --production 빌드는 소스맵을 생성하지 않을 뿐 기존 파일을 지우지 않는다. CoreUpdateCommandSpawnFailureTest 는 in-process fallback 이 실제 업그레이드 스텝을 돌려 코어 역할·권한·메뉴를 커밋하는데 RefreshDatabase 가 없어, 이후 모든 테스트 클래스가 중복 키로 깨졌다(단독 실행 시 미재현).
74 lines
2.0 KiB
PHP
74 lines
2.0 KiB
PHP
<?php
|
|
|
|
namespace App\Rules;
|
|
|
|
use Closure;
|
|
use Illuminate\Contracts\Validation\ValidationRule;
|
|
|
|
class AllowedPluginFileType implements ValidationRule
|
|
{
|
|
/**
|
|
* 허용된 파일 확장자 목록
|
|
*/
|
|
private const ALLOWED_EXTENSIONS = [
|
|
// Scripts
|
|
'js', 'mjs',
|
|
|
|
// Styles
|
|
'css',
|
|
|
|
// Data
|
|
'json',
|
|
|
|
// Images
|
|
'png', 'jpg', 'jpeg', 'svg', 'webp', 'gif', 'ico',
|
|
|
|
// Fonts
|
|
'woff', 'woff2', 'ttf', 'otf', 'eot',
|
|
];
|
|
|
|
/**
|
|
* 허용된 파일 타입인지 검증
|
|
*/
|
|
public function validate(string $attribute, mixed $value, Closure $fail): void
|
|
{
|
|
if (! is_string($value)) {
|
|
$fail(__('validation.plugin_path.must_be_string'));
|
|
|
|
return;
|
|
}
|
|
|
|
$extension = strtolower(pathinfo($value, PATHINFO_EXTENSION));
|
|
$allowed = self::getAllowedExtensions();
|
|
|
|
if (! in_array($extension, $allowed, true)) {
|
|
$fail(__('validation.plugin_path.file_type_not_allowed', [
|
|
'extension' => $extension,
|
|
'allowed' => implode(', ', $allowed),
|
|
]));
|
|
|
|
return;
|
|
}
|
|
}
|
|
|
|
/**
|
|
* 허용된 확장자 목록 반환
|
|
*
|
|
* 로컬 개발 환경에서만 소스맵(`map`)을 덧붙인다. dev 빌드 산출물은
|
|
* `//# sourceMappingURL` 이 개별 에셋 서빙 URL 을 가리키므로 서빙되어야
|
|
* 브라우저 콘솔에 404 가 남지 않는다. 반면 소스맵에는 원본 코드 전문
|
|
* (`sourcesContent`)이 담겨 있고 이 화이트리스트가 에셋 서빙의 유일한
|
|
* 방어선이므로, 운영 환경에서는 어떤 경우에도 서빙하지 않는다.
|
|
*
|
|
* @return array<string> 허용된 확장자 목록
|
|
*/
|
|
public static function getAllowedExtensions(): array
|
|
{
|
|
if (app()->environment('local')) {
|
|
return [...self::ALLOWED_EXTENSIONS, 'map'];
|
|
}
|
|
|
|
return self::ALLOWED_EXTENSIONS;
|
|
}
|
|
}
|