HeuJung
abb40ad210
중첩 라우트의 상위 리소스 ID 를 조회 스코프에 반영하지 않아 A 의 경로로 B 의 하위 리소스를 읽거나 변경할 수 있었다. 방어 위치를 Repository where 절(SSoT)로 통일하고 컨트롤러 사후 비교에 의존하지 않게 했다. 같은 리소스의 형제 엔드포인트가 서로 다른 강도로 검증하던 부분도 맞췄다. 계층 리소스는 자기 자신·자손을 부모로 지정하는 순환을 검증 계층에서 차단하고, 검증을 우회하는 경로(시더/훅/오염 데이터)를 위해 path 재귀에 방문 ID 가드를 뒀다. 설정값이 정하는 깊이 상한을 Service 가 리터럴로 재클램프하던 부분을 제거해 게시판 설정이 실제로 적용되게 했다. 쓰기 경로는 validated 기준으로 좁혀 FormRequest 미정의 필드가 fillable 로 새지 않게 했다. 기존 오염 데이터는 업그레이드 스텝이 정리한다(삭제 없이 최상위로 이동). 재발 방지로 audit 룰 3종을 추가하고, 규정 문서와 트러블슈팅 사례를 함께 갱신했다. 공개 이슈: gnuboard/g7
91 lines
2.9 KiB
PHP
91 lines
2.9 KiB
PHP
<?php
|
|
|
|
namespace App\Http\Controllers\Api\Admin;
|
|
|
|
use App\Http\Controllers\Api\Base\AdminBaseController;
|
|
use App\Http\Requests\Admin\UpdatePluginSettingsRequest;
|
|
use App\Services\PluginSettingsService;
|
|
use Illuminate\Http\JsonResponse;
|
|
|
|
/**
|
|
* 플러그인 설정 API 컨트롤러
|
|
*
|
|
* 플러그인의 설정 조회, 수정, 레이아웃 조회 기능을 제공합니다.
|
|
*/
|
|
class PluginSettingsController extends AdminBaseController
|
|
{
|
|
/**
|
|
* PluginSettingsController 생성자
|
|
*
|
|
* @param PluginSettingsService $pluginSettingsService 플러그인 설정 서비스
|
|
*/
|
|
public function __construct(
|
|
private PluginSettingsService $pluginSettingsService
|
|
) {
|
|
parent::__construct();
|
|
}
|
|
|
|
/**
|
|
* 플러그인 설정을 조회합니다.
|
|
*
|
|
* @param string $identifier 플러그인 식별자
|
|
* @return JsonResponse 설정 데이터
|
|
*/
|
|
public function show(string $identifier): JsonResponse
|
|
{
|
|
$settings = $this->pluginSettingsService->get($identifier);
|
|
|
|
if ($settings === null) {
|
|
return $this->notFound('plugins.not_found');
|
|
}
|
|
|
|
return $this->success('messages.success', $settings);
|
|
}
|
|
|
|
/**
|
|
* 플러그인 설정을 업데이트합니다.
|
|
*
|
|
* @param UpdatePluginSettingsRequest $request 검증된 요청
|
|
* @param string $identifier 플러그인 식별자
|
|
* @return JsonResponse 업데이트 결과
|
|
*/
|
|
public function update(UpdatePluginSettingsRequest $request, string $identifier): JsonResponse
|
|
{
|
|
// 검증을 통과한 필드만 저장한다. 과거에는 validated() 가 비면 all() 로 폴백했으나,
|
|
// 그 명분이던 "PluginManager 미등록 플러그인" 은 PluginSettingsService::save() 가
|
|
// 이미 false 로 차단하므로 도달할 수 없었고, 실제로는 설정 스키마 밖의 키가
|
|
// 그대로 설정 파일에 병합되는 경로로만 동작했다 (mass-assignment).
|
|
$settings = $request->validated();
|
|
|
|
$result = $this->pluginSettingsService->save($identifier, $settings);
|
|
|
|
if (! $result) {
|
|
return $this->error('plugins.settings.update_failed', 500);
|
|
}
|
|
|
|
return $this->success(
|
|
'plugins.settings.updated',
|
|
$this->pluginSettingsService->get($identifier)
|
|
);
|
|
}
|
|
|
|
/**
|
|
* 플러그인 설정 레이아웃을 조회합니다.
|
|
*
|
|
* 설정 페이지 UI 구성과 설정 스키마를 반환합니다.
|
|
*
|
|
* @param string $identifier 플러그인 식별자
|
|
* @return JsonResponse 레이아웃 데이터
|
|
*/
|
|
public function layout(string $identifier): JsonResponse
|
|
{
|
|
$layout = $this->pluginSettingsService->getLayout($identifier);
|
|
|
|
if ($layout === null) {
|
|
return $this->notFound('plugins.not_found');
|
|
}
|
|
|
|
return $this->success('messages.success', $layout);
|
|
}
|
|
}
|