HeuJung
c4beb116ad
서버가 외부 입력으로 목적지가 제어되는 outbound HTTP 요청을 보내는 지점을 전수 조사해, 내부망(사설 IP·루프백·링크로컬·메타데이터)과 host 위조를 차단한다. KVE-2026-1546(이니시스 인증 URL 접두사 매칭 우회)과 동일 클래스의 지점(언어팩 URL 설치, 스케줄 URL 호출, 배송비 계산 API, GitHub URL 판정)을 코어 공용 유틸 App\Support\OutboundUrlValidator 로 수렴시켰다. - 접두사 매칭을 host 완전일치로 교체 — userinfo(@) 위장과 접미사 확장 도메인 우회 벡터 차단. - 사내 서버 호출이 정당한 관리자 지점(스케줄·외부 API)은 신규 설정 security.allow_internal_outbound_urls(기본 off)로 옵트인. - 언어팩 URL 설치는 원격 코드 다운로드라 옵트인과 무관하게 내부 주소 항상 차단. - 웹소켓 연결 테스트는 localhost·사설 IP 가 정상 구성이므로 구조적 위조만 차단. 각 지점에 red 재현 → 수정 → green 회귀 테스트 + 실브라우저 E2E 로 검증. 수기 API 문서가 자동 재생성으로 소실되는 사고를 막는 PreToolUse 훅을 함께 추가한다.
106 lines
4.1 KiB
PHP
106 lines
4.1 KiB
PHP
<?php
|
|
|
|
namespace App\Http\Requests\Schedule;
|
|
|
|
use App\Enums\ExtensionOwnerType;
|
|
use App\Enums\ScheduleFrequency;
|
|
use App\Enums\ScheduleType;
|
|
use App\Extension\HookManager;
|
|
use App\Models\Schedule;
|
|
use App\Rules\PublicOutboundUrl;
|
|
use Illuminate\Contracts\Validation\ValidationRule;
|
|
use Illuminate\Foundation\Http\FormRequest;
|
|
use Illuminate\Validation\Rule;
|
|
|
|
class UpdateScheduleRequest extends FormRequest
|
|
{
|
|
/**
|
|
* Determine if the user is authorized to make this request.
|
|
*
|
|
* @return bool 권한 검사는 라우트의 permission 미들웨어가 담당하므로 항상 true
|
|
*/
|
|
public function authorize(): bool
|
|
{
|
|
return true;
|
|
}
|
|
|
|
/**
|
|
* Get the validation rules that apply to the request.
|
|
*
|
|
* @return array<string, ValidationRule|array<mixed>|string>
|
|
*/
|
|
public function rules(): array
|
|
{
|
|
$types = implode(',', ScheduleType::values());
|
|
$frequencies = implode(',', ScheduleFrequency::values());
|
|
|
|
$rules = [
|
|
'name' => 'sometimes|required|string|max:255',
|
|
'description' => 'nullable|string|max:1000',
|
|
'type' => "sometimes|required|string|in:{$types}",
|
|
// URL 호출 스케줄이면 command 가 곧 서버의 outbound 목적지가 되므로 내부망 주소를 차단한다
|
|
'command' => [
|
|
'sometimes',
|
|
'required',
|
|
'string',
|
|
'max:2000',
|
|
Rule::when($this->resolvesToUrlSchedule(), [new PublicOutboundUrl]),
|
|
],
|
|
'expression' => 'sometimes|required|string|max:100',
|
|
'frequency' => "sometimes|required|string|in:{$frequencies}",
|
|
'without_overlapping' => 'boolean',
|
|
'run_in_maintenance' => 'boolean',
|
|
'timeout' => 'nullable|integer|min:1|max:86400',
|
|
'is_active' => 'boolean',
|
|
'extension_type' => 'nullable|string|in:'.implode(',', ExtensionOwnerType::values()),
|
|
'extension_identifier' => 'nullable|string|max:255|required_with:extension_type',
|
|
];
|
|
|
|
// 모듈/플러그인이 validation rules를 동적으로 추가할 수 있도록 훅 제공
|
|
return HookManager::applyFilters('core.schedule.update_validation_rules', $rules, $this);
|
|
}
|
|
|
|
/**
|
|
* 이번 수정 결과 URL 호출 스케줄이 되는지 판정합니다.
|
|
*
|
|
* PATCH 라 `type` 이 요청에 없을 수 있으므로, 없으면 저장된 스케줄의 타입을 기준으로
|
|
* 판정한다 — 그렇지 않으면 기존 url 스케줄의 command 만 바꾸는 요청이 검증을 비껴간다.
|
|
*
|
|
* @return bool URL 호출 스케줄이면 true
|
|
*/
|
|
protected function resolvesToUrlSchedule(): bool
|
|
{
|
|
if ($this->has('type')) {
|
|
return $this->input('type') === ScheduleType::Url->value;
|
|
}
|
|
|
|
$schedule = $this->route('schedule');
|
|
|
|
return $schedule instanceof Schedule && $schedule->type === ScheduleType::Url;
|
|
}
|
|
|
|
/**
|
|
* Get custom messages for validator errors.
|
|
*
|
|
* @return array<string, string>
|
|
*/
|
|
public function messages(): array
|
|
{
|
|
return [
|
|
'name.required' => __('schedule.validation.name_required'),
|
|
'name.max' => __('schedule.validation.name_max'),
|
|
'type.required' => __('schedule.validation.type_required'),
|
|
'type.in' => __('schedule.validation.type_invalid'),
|
|
'command.required' => __('schedule.validation.command_required'),
|
|
'command.max' => __('schedule.validation.command_max'),
|
|
'expression.required' => __('schedule.validation.expression_required'),
|
|
'expression.max' => __('schedule.validation.expression_max'),
|
|
'frequency.required' => __('schedule.validation.frequency_required'),
|
|
'frequency.in' => __('schedule.validation.frequency_invalid'),
|
|
'timeout.integer' => __('schedule.validation.timeout_integer'),
|
|
'timeout.min' => __('schedule.validation.timeout_min'),
|
|
'timeout.max' => __('schedule.validation.timeout_max'),
|
|
];
|
|
}
|
|
}
|