@gaonjs/config 0.10.0 → 0.11.0

package/dist/wire.js

@@ -169,6 +169,8 @@ export async function wireGaon(config, cwd = process.cwd()) {
         cookieSecret: config.web?.cookieSecret,
         // 보안 기본값 조정(생략 시 코어 기본값 전부 켬 · CLAUDE.md 규칙 8).
         security: config.web?.security,
+        // 결정 131: 스토리지 오리진 CSP 자동 배선(설정 있으면 img-src·connect-src 에 부착).
+        storageOrigins: storageCspOrigins(config.storage),
         // 클라이언트 IP 정책(결정 120 · 생략 시 'direct'). 프록시 뒤 배치면 선언.
         clientIp: config.web?.clientIp,
         realtime: nats ? { nats, hubAddr: config.hub?.addr, heartbeatMs: config.hub?.heartbeatMs } : undefined,
@@ -197,3 +199,41 @@ export async function wireGaon(config, cwd = process.cwd()) {
 }
 // redisSessionStore 는 참조만 유지(트리 셰이킹 방지 · 향후 캐시 재사용).
 void redisSessionStore;
+/**
+ * 결정 131: storage 설정에서 CSP 오리진을 계산한다(s3 드라이버만). endpoint = 브라우저 직접
+ * presigned PUT/GET 오리진(connect-src) 겸 presigned 표시 폴백(img-src). publicUrl = 공개/CDN
+ * 표시 오리진(img-src). 로컬 디스크는 same-origin 상대 URL 이라 CSP 와 무관(제외). 오리진은
+ * `new URL(v).origin`(scheme+host+port) 만 — 경로·쿼리는 배제한다.
+ */
+function storageCspOrigins(storage) {
+    if (!storage)
+        return undefined;
+    const img = new Set();
+    const connect = new Set();
+    for (const [name, d] of Object.entries(storage.disks)) {
+        if (d.driver !== 's3')
+            continue; // 로컬 디스크(상대 baseUrl)는 same-origin — CSP 불필요
+        if (d.endpoint) {
+            const origin = parseStorageOrigin(d.endpoint, `storage.disks.${name}.endpoint`);
+            connect.add(origin);
+            img.add(origin);
+        }
+        if (d.publicUrl) {
+            img.add(parseStorageOrigin(d.publicUrl, `storage.disks.${name}.publicUrl`));
+        }
+    }
+    if (img.size === 0 && connect.size === 0)
+        return undefined;
+    return { img: [...img], connect: [...connect] };
+}
+/** 절대 URL 의 오리진(scheme+host+port)만 뽑는다. 비절대 URL 은 부팅 에러(수리 안내 · §7.5.3). */
+function parseStorageOrigin(value, where) {
+    try {
+        return new URL(value).origin;
+    }
+    catch {
+        throw new Error(`[@gaonjs/config] ${where} = ${JSON.stringify(value)} 가 절대 URL 이 아닙니다(CSP 오리진 계산 불가).\n` +
+            `  → gaon.config.ts 의 storage 설정에서 scheme+host 를 갖춘 절대 URL 로 지정하세요` +
+            ` (예: 'https://cdn.example.com' · 'http://127.0.0.1:9000').`);
+    }
+}

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@gaonjs/config",
-  "version": "0.10.0",
+  "version": "0.11.0",
   "description": "Gaon 루트 설정 로더·자동 배선 (gaon.config.ts · §3.3 · M9-A)",
   "type": "module",
   "license": "MIT",
@@ -26,12 +26,12 @@
   "dependencies": {
     "ioredis": "^5.4.1",
     "@gaonjs/async": "0.8.0",
-    "@gaonjs/i18n": "0.1.2",
     "@gaonjs/data": "0.13.1",
-    "@gaonjs/mail": "0.1.3",
     "@gaonjs/core": "0.2.1",
     "@gaonjs/storage": "0.1.2",
-    "@gaonjs/web": "0.13.1"
+    "@gaonjs/mail": "0.1.3",
+    "@gaonjs/web": "0.14.0",
+    "@gaonjs/i18n": "0.1.2"
   },
   "devDependencies": {
     "fastify": "^5.0.0"