Files
Gnuboard7/plugins/_bundled/sirsoft-tosspayments/tests/PluginTestCase.php
T
HeuJung 21fc114f37 fix(core,extensions): 보안 결함 3건과 이중저장소·레이아웃 중복키 결함군 폐쇄
KISA 제보 3건(KVE-2026-2010/2011/2018)과 그 동일 계열 형제 결함을 전수 조치하고,
그 과정에서 드러난 두 결함군을 함께 닫는다.

- 검증 시점과 연결 시점이 host 를 다르게 읽던 SSRF 통로를 정규화 SSoT 한 곳으로 모았다
- 세션을 여는 지점(2FA 완료·토큰 재발급)이 잠금 검사를 거치지 않아 계정 잠금이 우회됐다
- 인증도 서명도 없는 브라우저 리턴 콜백이 주문 상태를 바꾸던 통로를 4 PG 전부에서 닫고,
 소유권을 대조하는 close-report 를 토스에도 신설했다. 그 결과 정리 주체를 잃는
 결제창 미완료 주문은 만료 자동취소가 거둔다
- 저장소 A(_local)에만 쓰는 경로가 B 의 값을 조용히 덮던 회귀를 정본 writer 로 닫았다
 (engine-v1.63.5). 한 방향만 보던 정적 검사에 반대 방향 축과 양방향 계약 테스트를 더했다
- 레이아웃 JSON 의 같은 객체 중복 키가 앞선 선언을 오류 없이 삼키던 결함군을 닫았다
2026-09-02 17:36:11 +09:00

314 lines
10 KiB
PHP

<?php
namespace Plugins\Sirsoft\Tosspayments\Tests;
use App\Enums\PermissionType;
use App\Extension\HookManager;
use App\Models\Permission;
use App\Models\Role;
use App\Models\User;
use Illuminate\Foundation\Testing\RefreshDatabase;
use Illuminate\Support\Facades\Config;
use Illuminate\Support\Facades\Route;
use Modules\Sirsoft\Ecommerce\Database\Seeders\TestingSeeder;
use Modules\Sirsoft\Ecommerce\Providers\EcommerceServiceProvider;
use Tests\TestCase;
/**
* 토스페이먼츠 플러그인 테스트 베이스 클래스
*
* 모든 토스페이먼츠 플러그인 테스트는 이 클래스를 상속받아야 합니다.
* 모듈/플러그인 오토로드, ServiceProvider 등록, 마이그레이션, 라우트 등록을 자동으로 처리합니다.
*/
abstract class PluginTestCase extends TestCase
{
use RefreshDatabase;
/**
* 시딩 활성화
*
* @return bool
*/
protected function shouldSeed(): bool
{
return true;
}
/**
* 테스트용 시더 클래스
*
* @return string
*/
protected function seeder(): string
{
return TestingSeeder::class;
}
/**
* 마이그레이션 경로를 반환합니다.
*
* @return array
*/
protected function migrateFreshUsing(): array
{
// RefreshDatabase 는 첫 테스트의 migrateFreshUsing 만 적용 — 모든 번들 확장
// migrations 를 포함시켜 Plugin suite 전체 실행 시에도 스키마 보장.
$paths = ['database/migrations'];
foreach (glob(base_path('modules/_bundled/*/database/migrations'), GLOB_ONLYDIR) as $p) {
$paths[] = str_replace(base_path().DIRECTORY_SEPARATOR, '', $p);
}
foreach (glob(base_path('plugins/_bundled/*/database/migrations'), GLOB_ONLYDIR) as $p) {
$paths[] = str_replace(base_path().DIRECTORY_SEPARATOR, '', $p);
}
return [
'--drop-views' => $this->shouldDropViews(),
'--drop-types' => $this->shouldDropTypes(),
'--seed' => $this->shouldSeed(),
'--seeder' => $this->seeder(),
'--path' => $paths,
];
}
/**
* HookManager static state 스냅샷 — tearDown 에서 복원하여 테스트 간 훅 격리 보장.
*
* @var array{hooks: array, filters: array, dispatching: array}|null
*/
private ?array $hookSnapshot = null;
/**
* 테스트 환경 설정
*/
protected function setUp(): void
{
parent::setUp();
// 이커머스 모듈 오토로드 등록
$this->registerModuleAutoload();
// 플러그인 오토로드 등록
$this->registerPluginAutoload();
// 이커머스 모듈 ServiceProvider 등록 (Repository 바인딩)
$this->app->register(EcommerceServiceProvider::class);
// 모듈 라우트를 수동으로 등록
$this->registerModuleRoutes();
// 플러그인 라우트를 수동으로 등록
$this->registerPluginRoutes();
// SettingsServiceProvider 가 storage/app/settings/general.json 의 site_url 로
// app.url 을 override 하면 Laravel 의 assertRedirect (APP_URL 기반) 와 mismatch.
// 테스트 환경에서는 APP_URL 그대로 사용하도록 명시 리셋.
Config::set('app.url', env('APP_URL', 'http://localhost'));
// HookManager 상태 스냅샷 (tearDown 에서 복원)
$this->snapshotHookManager();
}
/**
* tearDown 에 HookManager 상태 복원.
*/
protected function tearDown(): void
{
$this->restoreHookManager();
parent::tearDown();
}
/**
* HookManager static $hooks / $filters / $dispatching 를 스냅샷.
*/
private function snapshotHookManager(): void
{
$ref = new \ReflectionClass(HookManager::class);
$this->hookSnapshot = [
'hooks' => $ref->getProperty('hooks')->getValue(),
'filters' => $ref->getProperty('filters')->getValue(),
'dispatching' => $ref->getProperty('dispatching')->getValue(),
];
}
/**
* 스냅샷 시점으로 HookManager 복원.
*/
private function restoreHookManager(): void
{
if ($this->hookSnapshot === null) {
return;
}
$ref = new \ReflectionClass(HookManager::class);
$ref->getProperty('hooks')->setValue(null, $this->hookSnapshot['hooks']);
$ref->getProperty('filters')->setValue(null, $this->hookSnapshot['filters']);
$ref->getProperty('dispatching')->setValue(null, $this->hookSnapshot['dispatching']);
$this->hookSnapshot = null;
}
/**
* 이커머스 모듈 오토로드를 등록합니다.
*/
protected function registerModuleAutoload(): void
{
$moduleBasePath = base_path('modules/sirsoft-ecommerce/src/');
spl_autoload_register(function ($class) use ($moduleBasePath) {
$prefix = 'Modules\\Sirsoft\\Ecommerce\\';
$len = strlen($prefix);
if (strncmp($prefix, $class, $len) !== 0) {
return;
}
$relativeClass = substr($class, $len);
$file = $moduleBasePath.str_replace('\\', '/', $relativeClass).'.php';
if (file_exists($file)
&& ! class_exists($class, false) && ! interface_exists($class, false)
&& ! trait_exists($class, false) && ! enum_exists($class, false)) {
// 활성 디렉토리 사본이 이미 로드된 심볼을 다시 선언하면 fatal 이 된다 —
// 선언 여부를 자체 확인하고 require_once 로 이중 방어한다
require_once $file;
}
});
// composer.json files 오토로드 (헬퍼 함수 등록)
$helpersFile = $moduleBasePath.'Helpers/helpers.php';
if (file_exists($helpersFile)) {
require_once $helpersFile;
}
}
/**
* 플러그인 오토로드를 등록합니다.
*/
protected function registerPluginAutoload(): void
{
// 활성 디렉토리(plugins/sirsoft-tosspayments)가 아닌 자기 자신 기준 경로 —
// _bundled 에서 직접 실행할 때도 소스를 찾도록 한다.
$pluginBasePath = dirname(__DIR__).'/src/';
spl_autoload_register(function ($class) use ($pluginBasePath) {
$prefix = 'Plugins\\Sirsoft\\Tosspayments\\';
$len = strlen($prefix);
if (strncmp($prefix, $class, $len) !== 0) {
return;
}
$relativeClass = substr($class, $len);
$file = $pluginBasePath.str_replace('\\', '/', $relativeClass).'.php';
if (file_exists($file)
&& ! class_exists($class, false) && ! interface_exists($class, false)
&& ! trait_exists($class, false) && ! enum_exists($class, false)) {
// 활성 디렉토리 사본이 이미 로드된 심볼을 다시 선언하면 fatal 이 된다 —
// 선언 여부를 자체 확인하고 require_once 로 이중 방어한다
require_once $file;
}
});
}
/**
* 모듈 라우트를 등록합니다.
*/
protected function registerModuleRoutes(): void
{
$apiRoutesFile = base_path('modules/sirsoft-ecommerce/src/routes/api.php');
if (file_exists($apiRoutesFile)) {
Route::prefix('api/modules/sirsoft-ecommerce')
->name('api.modules.sirsoft-ecommerce.')
->middleware('api')
->group($apiRoutesFile);
}
}
/**
* 플러그인 라우트를 등록합니다.
*/
protected function registerPluginRoutes(): void
{
$webRoutesFile = dirname(__DIR__).'/src/routes/web.php';
if (file_exists($webRoutesFile)) {
Route::prefix('plugins/sirsoft-tosspayments')
->name('plugins.sirsoft-tosspayments.')
->middleware('web')
->group($webRoutesFile);
}
$apiRoutesFile = dirname(__DIR__).'/src/routes/api.php';
if (file_exists($apiRoutesFile)) {
// 프로덕션 PluginRouteServiceProvider 와 동일한 프리픽스·이름 규약을 따른다.
Route::prefix('api/plugins/sirsoft-tosspayments')
->name('api.plugins.sirsoft-tosspayments.')
->middleware('api')
->group($apiRoutesFile);
}
}
/**
* 관리자 사용자를 생성합니다.
*
* @param array $permissions 추가 권한 목록
* @return User
*/
protected function createAdminUser(array $permissions = []): User
{
$user = User::factory()->create();
$uniqueRoleIdentifier = 'admin-test-'.$user->id.'-'.time();
$userRole = Role::create([
'identifier' => $uniqueRoleIdentifier,
'name' => ['ko' => '테스트 관리자', 'en' => 'Test Admin'],
]);
$user->roles()->attach($userRole->id);
$adminAccessPermission = Permission::firstOrCreate(
['identifier' => 'admin.access'],
[
'name' => ['ko' => '관리자 접근', 'en' => 'Admin Access'],
'type' => PermissionType::Admin,
]
);
$userRole->permissions()->attach($adminAccessPermission->id);
if (! empty($permissions)) {
foreach ($permissions as $permissionIdentifier) {
$permission = Permission::firstOrCreate(
['identifier' => $permissionIdentifier],
[
'name' => ['ko' => $permissionIdentifier, 'en' => $permissionIdentifier],
'type' => 'admin',
]
);
$userRole->permissions()->syncWithoutDetaching([$permission->id]);
}
}
return $user;
}
/**
* 일반 사용자를 생성합니다.
*
* @return User
*/
protected function createUser(): User
{
$userRole = Role::where('identifier', 'user')->first();
$user = User::factory()->create();
if ($userRole) {
$user->roles()->attach($userRole->id);
}
return $user;
}
}