HeuJung
15cd4452bf
nginx 의 정규식 location 은 프리픽스 location 보다 먼저 매칭되므로, `location ~* \.(js|css|json)$` 블록이 있는 서버에서는 확장자 붙은 동적 엔드포인트가 `try_files ... /index.php` 폴백이 실행될 기회 없이 404 가 된다. aaPanel/CyberPanel/Plesk 기본 템플릿에 들어있어 드물지 않으며, 관리자 화면조차 뜨지 않아 "서버 설정을 고치세요" 안내가 순환 참조가 된다. 관례를 깬 쪽이 G7 이므로 해소 책임도 G7 에 두고, 두 형태를 모두 서빙한 뒤 환경에 따라 택일한다. 확장자 형태는 영구 유지한다 — 제거하면 URL 을 하드코딩한 서드파티 확장이 깨진다. - 라우트: dualSuffix / dualSuffixSegment / dualAsset 매크로로 23개 엔드포인트와 프로브를 이중 등록. 확장자 형태를 먼저 등록한다 — 확장자 없는 쪽이 더 느슨한 패턴이라 순서가 뒤집히면 `.json` 요청까지 삼킨다 - URL 생성: 서버 App\Support\AssetUrl, 프론트 core/support/assetUrl.ts 로 집약. 기본 모드에서 생성 결과는 치환 이전과 문자열까지 동일하다 (쿼리 순서 포함 — 순서가 바뀌면 의미는 같아도 HTTP 캐시 키가 갈린다) - 자가 복구: 부트스트랩 자산 로드 실패 시 확장자 없는 형태로 1회 단방향 전환. 역방향 금지 + 기존 재시도 예산 공유로 무한 왕복을 막는다 - 감지·전환: 인스톨러 프로브(설치 시 확정) / 관리자 환경설정 일반 탭 / g7:asset-url-mode. 판정은 상태코드가 아니라 매직 토큰 + Content-Type 으로 한다. 상태코드만 보면 "404 대신 200 + 에러 HTML" 환경에서 영원히 오판한다 - 봇은 JavaScript 를 실행하지 않아 자가 복구가 닿지 않으므로, 모드 변경 시 SEO 프리렌더 캐시를 비워 재생성시킨다 가드: audit 룰 2종(dynamic-route-static-extension / asset-url-builder-required), Playwright 6건(정적 블록 가로채기 시뮬레이션), 루프 방지 불변식 L1~L9 전수 red 증명. 부수 정리: 양 Composer 에 중복돼 있던 확장 에셋 수집 123줄을 트레이트로 통합하고, 자산 확장자 화이트리스트 누락(.map)과 경로 정규화 우회 가능성을 함께 교정. sir.kr 커뮤니티의 hang 님께서 제보해주셨습니다.
75 lines
2.9 KiB
PHP
75 lines
2.9 KiB
PHP
<?php
|
|
|
|
namespace App\Http\Controllers\Api\Public;
|
|
|
|
use App\Http\Controllers\Api\Base\PublicBaseController;
|
|
use Illuminate\Http\Response;
|
|
|
|
/**
|
|
* 자산 URL 모드 감지 프로브.
|
|
*
|
|
* 서버(nginx/Apache)의 정적 최적화 블록이 확장자 붙은 동적 응답을 가로채는지
|
|
* 판정하기 위한 대조 엔드포인트다. 브라우저가 아래 두 URL 을 쌍으로 요청한다.
|
|
*
|
|
* ```text
|
|
* GET /api/system/asset-probe.js → 확장자 형태 (정적 블록의 표적)
|
|
* GET /api/system/asset-probe → 대조군
|
|
* ```
|
|
*
|
|
* | probe.js | probe | 판정 |
|
|
* |---|---|---|
|
|
* | 성공 | 성공 | `extension` — 확장자 유지 가능 |
|
|
* | 실패 | 성공 | `extensionless` — 정적 블록 가로채기 확정 |
|
|
* | 실패 | 실패 | 모드 문제 아님 (PHP/라우팅 장애) — 별도 안내 |
|
|
*
|
|
* ## 판정은 상태코드가 아니라 본문이다
|
|
*
|
|
* 클라이언트는 `res.ok && body.includes(PROBE_TOKEN)` 로 판정해야 한다.
|
|
* 상태코드만 보면 "404 대신 200 + 에러 HTML" 이나 catch-all 200 페이지를
|
|
* 반환하는 설정에서 영원히 `extension` 으로 오판해, 재감지를 몇 번 눌러도
|
|
* 같은 오답이 나온다.
|
|
*
|
|
* ## 감지는 반드시 브라우저에서 수행한다
|
|
*
|
|
* 서버측에서 자기 `APP_URL` 로 curl 하면 loopback 이 nginx vhost·SSL·프록시
|
|
* 체인을 우회하거나 다른 vhost 를 타서 오판한다.
|
|
*
|
|
* ## 실물 파일을 두지 않는다
|
|
*
|
|
* `public/` 하위에 실제 `asset-probe.js` 파일이 존재하면 nginx 가 그것을
|
|
* 성공적으로 서빙해 거짓 양성이 된다. 본 라우트는 반드시 실물 파일이 없는
|
|
* 경로여야 한다.
|
|
*/
|
|
class AssetProbeController extends PublicBaseController
|
|
{
|
|
/**
|
|
* 프로브 성공 판정용 매직 토큰.
|
|
*
|
|
* 클라이언트·테스트가 응답 본문에서 이 문자열을 찾아 성공을 판정한다.
|
|
*/
|
|
public const PROBE_TOKEN = 'G7_ASSET_PROBE_OK';
|
|
|
|
/**
|
|
* 프로브 응답을 반환합니다.
|
|
*
|
|
* DB 에 접근하지 않으며(설치 전에도 응답 가능) 캐시되지 않습니다.
|
|
* ResponseHelper 의 JSON 봉투를 쓰지 않는 이유: 이 엔드포인트의 목적은
|
|
* "정적 자산으로 오인될 응답"을 실제로 흉내내는 것이므로, 자바스크립트
|
|
* Content-Type 과 본문 형태를 그대로 유지해야 대표성이 있다.
|
|
*
|
|
* @return Response 매직 토큰을 담은 자바스크립트 응답
|
|
*/
|
|
public function probe(): Response
|
|
{
|
|
$body = "/* G7 asset URL mode probe */\n"
|
|
."window.__g7AssetProbe = '".self::PROBE_TOKEN."';\n";
|
|
|
|
return response($body, 200, [
|
|
'Content-Type' => 'application/javascript; charset=utf-8',
|
|
'Cache-Control' => 'no-store, no-cache, must-revalidate, max-age=0',
|
|
'Pragma' => 'no-cache',
|
|
'X-Content-Type-Options' => 'nosniff',
|
|
]);
|
|
}
|
|
}
|