🛡️ Sentinel: [HIGH] 인라인 스타일 'unsafe-inline' CSP 보안 취약점 수정 및 Nonce 기반 정책 적용

[seonghobae]

🚨 보안 심각도 (Security Severity): HIGH

정적 웹 생성기에서 생성된 HTML 결과물은 파일 경로나 이름 등에서 입력되는 예상치 못한 악의적인 페이로드에 노출될 수 있습니다. 기존 버전에서는 style-src 'unsafe-inline' CSP 지시어가 허용되어 인라인 CSS 인젝션을 통한 잠재적 XSS(Cross-Site Scripting) 우회 공격이 가능했습니다.

💡 취약점 (Vulnerability)

html4tree의 생성된 index.html 파일 내부에는 디자인 렌더링을 위해 CSS 인라인 스타일 블록(<style>)이 포함되어 있으며, style="display:block; width:100%" 등의 인라인 스타일 속성이 HTML 태그에 직접 지정되어 있었습니다. 이 때문에 기존의 Content-Security-Policy 메타 태그가 'unsafe-inline'을 강제로 허용하고 있었습니다.

🎯 임팩트 (Impact)

만약 어떤 경로를 통해 악성 사용자가 이 도구의 입력(예: 악의적인 파일 및 폴더 이름 생성 등)을 변조할 수 있다면, 인라인 스타일 허용 정책(unsafe-inline)을 이용해 악성 CSS 또는 우회된 자바스크립트를 로드하도록 조작할 위험이 존재합니다.

🔧 해결 방안 (Fix)

본 수정 사항에서는 Nonce 기반의 CSP를 도입하여 방어 심층(Defense in Depth) 보안을 강화했습니다.

1. java.security.SecureRandom을 활용하여 디렉토리가 처리될 때마다 16바이트 길이의 동적인 랜덤 Nonce 값을 생성하고, Base64로 인코딩합니다.
2. <style> 태그에 nonce="${nonce}" 속성을 추가하여 해당 스타일 블록이 안전함을 선언합니다.
3. 기존 HTML 요소 내부의 인라인 style 속성들을 제거하고 .dir-link, .empty-dir 같은 CSS 클래스로 대체하여 인라인 스타일 사용을 원천 차단했습니다.
4. Content-Security-Policy 메타 태그의 설정을 변경하여 'unsafe-inline'을 제거하고, 동적으로 생성된 'nonce-...' 값만을 허용하도록 수정했습니다.

✅ 검증 완료 (Verification)

• Jacoco를 이용한 테스트 커버리지가 **100%**를 유지하는지 검증 완료되었습니다. (MainTest.kt 테스트 코드 내 CSP 기대 문자열 변경 완료)
• Playwright를 사용해 변경 후 생성된 HTML UI가 시각적으로 깨지지 않고 정상 렌더링 됨을 스크린샷과 비디오를 통해 검증하였습니다.
• Sentinel 보안 저널(.jules/sentinel.md)에 해당 사항이 기록되었습니다.

---

PR created automatically by Jules for task 17083573628632093851 started by @seonghobae

[google-labs-jules]

👋 Jules, reporting for duty! I'm here to lend a hand with this pull request.

When you start a review, I'll add a 👀 emoji to each comment to let you know I've read it. I'll focus on feedback directed at me and will do my best to stay out of conversations between you and other bots or reviewers to keep the noise down.

I'll push a commit with your requested changes shortly after. Please note there might be a delay between these steps, but rest assured I'm on the job!

For more direct control, you can switch me to Reactive Mode. When this mode is on, I will only act on comments where you specifically mention me with @jules. You can find this option in the Pull Request section of your global Jules UI settings. You can always switch back!

New to Jules? Learn more at jules.google/docs.

---

For security, I will only act on instructions from the user who triggered this task.