HeuJung
71abdeaf60
위임 관리자(부관리자)가 권한·역할·표현식·비밀 콘텐츠 경계를 우회하던 결함군을 계층 대칭성 원칙으로 전건 차단한다. 약한 경로가 정상 응답을 내보내는 것이 유일한 증상이라, 게이트를 생산 지점 한 곳(SSoT)에 두고 같은 데이터를 내보내는 소비 경로 전부가 그 게이트를 경유하도록 맞췄다. - 등급 상한(rank ceiling): 슈퍼관리자 보호·역할/사용자 역할 배정(추가·제거 대칭)·일괄 상태변경·순서변경을 상세 경로와 동일 강도로 재적용. 가드는 DB 쓰기에 선행하여 거부 시 상태 불변. - 레이아웃 표현식: new Function/with 실행을 AST 화이트리스트 평가기로 교체. 비-문자열 computed 키 정규화(normalizeKey)·Object facade(리플렉션 static 제거)·legacy 접근자 차단. 저장측 검증·정적 검사와 3계층 동형. - secret 게이트: 비밀글의 댓글·첨부·문의 독립 경로 재적용, hash 파일서빙 소유권·비밀·발행 상태 검사 통일. - 신뢰 스크립트 호스트: 확장 선언 기반 + same-origin 브라우저 정규화를 런타임·저장측·정적검사 3층 동형화. - 회귀 감지: 단위·Feature·E2E·시나리오 매니페스트 전축 + audit 룰 4종 신설.
3.9 KiB
Review Image API 레퍼런스
소유: module
sirsoft-ecommerce· 생성:php artisan api:docgen(실측 기반). @generated 블록은 재생성 시 갱신되며, 사람이 작성한 설명은 보존됩니다.
TL;DR (5초 요약)
1. 이 문서는 실제 API 호출로 실측한 Review Image 엔드포인트 레퍼런스입니다
2. 각 엔드포인트: 메서드/URI/권한 + 요청 파라미터 표 + 요청 예시(curl) + 실측 응답 필드 표 + 응답 예시(envelope)
3. 응답 필드의 예시값·응답 예시 JSON 은 실제 호출 응답에서 관측된 값입니다
4. 갱신: 코드 변경 후 php artisan api:docgen 재실행
5. 설명(TODO) 칸은 사람이 채웁니다
GET /api/modules/sirsoft-ecommerce/review-image/{hash}
- 라우트명:
api.modules.sirsoft-ecommerce.review-image.download - 컨트롤러:
Modules\Sirsoft\Ecommerce\Http\Controllers\User\ReviewImageController@download - 인증/권한: 공개 (인증 불필요)
요청 파라미터
| 이름 | 위치 | 타입 | 필수 | 허용값 | 용도 |
|---|---|---|---|---|---|
| hash | path | string | 예 | — | 대상 리소스의 해시 식별자 |
요청 예시
GET /api/modules/sirsoft-ecommerce/review-image/{hash} HTTP/1.1
Host: api.example.com
Accept: application/json
응답 필드 (data 내부)
이 엔드포인트는 JSON 봉투(data)를 반환하지 않습니다. 성공 시 이미지 바이너리 스트림(StreamedResponse)을 그대로 반환합니다 (ProductReviewImageService::download() → StorageInterface::response()).
성공 응답의 헤더는 다음과 같습니다.
| 헤더 | 값 | 용도/설명 |
|---|---|---|
| Content-Type | image/jpeg |
업로드 시 저장된 이미지의 MIME 타입 (product_review_images.mime_type) |
| Cache-Control | public, max-age=31536000 |
공개 이미지 장기 캐싱 (1년) |
| Content-Disposition | attachment; filename="review.jpg" |
업로드 시의 원본 파일명 (original_filename) |
응답 예시
HTTP/1.1 200 OK
Content-Type: image/jpeg
Cache-Control: public, max-age=31536000
Content-Disposition: attachment; filename="review.jpg"
<이미지 바이너리 스트림>
이미지를 찾지 못한 경우에만 JSON 봉투가 반환됩니다.
{
"success": false,
"message": "이미지를 찾을 수 없습니다."
}
에러 응답
| 상태코드 | 의미 | 발생 조건 |
|---|---|---|
| 404 | Not Found | 해시에 해당하는 리뷰 이미지가 없거나(findByHash() → null), 레코드는 있으나 스토리지에 실제 파일이 없는 경우, 또는 이미지가 속한 리뷰가 노출(VISIBLE) 상태가 아닌 경우(숨김·블라인드·대기 리뷰의 이미지는 존재를 감추기 위해 동일하게 404) (messages.reviews.image_not_found) |
설명 리뷰에 첨부된 이미지를 해시(12자) 기반으로 서빙합니다. ReviewImageController@download 가 ProductReviewImageService::download() 로 해시에 해당하는 이미지를 찾아 스트림(StreamedResponse)으로 반환합니다. <img src> 등에서 리뷰 이미지 원본을 표시할 때 사용하며, 실제 파일 경로를 노출하지 않고 해시로만 접근하게 합니다.
이미지 서빙은 부모 리뷰가 노출(VISIBLE) 상태일 때로 한정됩니다(KVE-2026-1914). 숨김·블라인드·대기 상태 리뷰의 이미지는 해시가 유효해도 서빙되지 않고 404 를 반환합니다 — 본문이 감춰진 리뷰의 이미지가 해시만으로 노출되는 것을 막고, 존재 자체를 드러내지 않기 위해 "이미지 없음"과 동일한 404 로 응답합니다. 노출 상태 리뷰의 이미지는 별도 인증 없이 공개 접근할 수 있습니다.