@zalkera/client 0.21.3 → 0.21.5

package/bin/validate-storefront.mjs

@@ -170,6 +170,9 @@ function resolveSourceRoot() {
  */
 const unmeasured = [];
 
+/** 한 파일을 읽어들이는 상한. 근거는 `readSafe` 주석. */
+const MAX_READ_BYTES = 8 * 1024 * 1024;
+
 /** 못 잰 것을 적는다. 사유(errno)와 무엇을 못 했는지를 함께 남긴다 — "안 잰 것을 잰 척" 하지 않기 위해. */
 function markUnmeasured(path, code, what) {
     unmeasured.push({path: relative(process.cwd(), path), code: code ?? "UNKNOWN", what});
@@ -183,7 +186,33 @@ function markUnmeasured(path, code, what) {
  * 한 자리로 모은다.
  */
 function readSafe(file, what) {
+    // ⚠ **심링크를 따라가지 않는다.** 0.21.4 는 파생 경로(`containedPath`)만 봉쇄했는데, 검사기가
+    //   **이름으로 여는 파일** — `AGENTS.md`·`globals.css`·`content/index.ts` 등 — 에는 봉쇄가 없었다.
+    //   테넌트가 그 이름을 임의 절대경로로 심링크하면 서빙 샌드박스에서 존재·가독성·정확한 MB·
+    //   백틱 안 경로형 문자열을 회신으로 되받는다(심의 실측). 여는 자리에도 같은 규칙을 건다.
+    //
+    //   레포 **안**을 가리키는 심링크는 그대로 읽는다(모노레포의 공유 설정 등) — 경계는 이탈이지
+    //   심링크 자체가 아니다.
+    const safe = containedPath(repoRootDir, file);
+    if (safe === null) {
+        markUnmeasured(file, "EXDEV", `${what} — 레포 밖을 가리켜 읽지 않았습니다`);
+        return null;
+    }
+    file = safe;
     try {
+        // ⚠ 크기 상한. 이 검사기는 **신뢰 밖 소스**에도 도는데(서빙 샌드박스), 상한이 없으면 import
+        //   한 줄로 임의 크기 파일을 읽혀 빌드 박스 메모리를 밀어낼 수 있다 — 실측으로 레포 밖 400MB
+        //   파일 하나에 RSS 47MB → 812MB 였다. 넘으면 **못 잰 것으로 적는다**(조용히 건너뛰면 통과로
+        //   읽힌다). 소스 한 파일이 이 크기를 넘는 것은 그 자체로 사람이 볼 일이다.
+        const {size} = statSync(file);
+        if (size > MAX_READ_BYTES) {
+            markUnmeasured(
+                file,
+                "EFBIG",
+                `${what} — ${Math.round(size / 1048576)}MB(상한 ${MAX_READ_BYTES / 1048576}MB)`,
+            );
+            return null;
+        }
         return readFileSync(file, "utf8");
     } catch (e) {
         if (e.code === "ENOENT") return null; // 없는 파일은 "못 잰 것"이 아니다 — 규칙이 판단할 사실이다
@@ -1438,6 +1467,22 @@ function fileExists(path) {
     }
 }
 
+/**
+ * **이름이 있는가** — 심링크를 따라가지 않는다.
+ *
+ * 고정 이름 파일(`AGENTS.md`·`llms.txt`)의 존재를 `statSync` 로 물으면 **심링크 표적**을 따라가고,
+ * 그 표적이 있느냐 없느냐로 회신이 갈린다 — 표적이 신뢰 밖 소스의 통제 아래라 그 차이가 오라클이다.
+ * 이름의 존재만 묻고, 읽을 수 있는지는 `readSafe` 의 봉쇄가 판단하게 둔다(표적과 무관하게 한 줄).
+ */
+function nameExists(path) {
+    try {
+        lstatSync(path);
+        return true;
+    } catch {
+        return false;
+    }
+}
+
 /**
  * D 규칙의 심각도 — 좌표의 실재는 **사실 판정**이라 어느 레포에서도 참이지만, 남의 레포 문서에
  * 에러를 던지지는 않는다(전제 1 "강제할 수 없다"). 우리 계약을 하나라도 선언한 레포에서만 error 다.
@@ -1458,10 +1503,12 @@ function checkDocCoordinates() {
     const sink = docsSink();
 
     const agents = join(repoRoot, "AGENTS.md");
-    if (fileExists(agents)) {
+    if (nameExists(agents)) {
         const agentsText = readSafe(agents, "D1 문서 좌표 검사(AGENTS.md)");
         for (const tok of docPathTokens(agentsText ?? "")) {
-            if (!fileExists(join(repoRoot, tok))) {
+            const target = containedPath(repoRoot, tok);
+            if (target === null) continue; // 레포 밖 좌표 — 남의 파일시스템을 탐침하지 않는다
+            if (!fileExists(target)) {
                 sink.push(
                     `[D1] AGENTS.md 가 없는 파일을 가리킵니다: \`${tok}\` — codegen 이 이 문서를 가장 먼저 ` +
                         `읽습니다. 실물 경로로 고치거나, 이제 없는 파일이면 경로 표기를 지우세요.`,
@@ -1482,10 +1529,12 @@ function checkDocCoordinates() {
     if (!isExemplar) return;
 
     const llms = join(repoRoot, "node_modules", "@zalkera", "client", "llms.txt");
-    if (!fileExists(llms)) return; // 미설치 — 없는 것을 센 척하지 않는다.
+    if (!nameExists(llms)) return; // 미설치 — 없는 것을 센 척하지 않는다.
     const llmsText = readSafe(llms, "D2 문서 좌표 검사(llms.txt)");
     for (const tok of docPathTokens(llmsText ?? "", /^src\/(app|components|lib)\//)) {
-        if (!fileExists(join(repoRoot, tok))) {
+        const target = containedPath(repoRoot, tok);
+        if (target === null) continue; // D1 과 같은 봉쇄
+        if (!fileExists(target)) {
             sink.push(
                 `[D2] llms.txt 가 본보기로 지목한 \`${tok}\` 이 이 레포에 없습니다 — 레시피가 실물을 ` +
                     `앞질렀거나(공표 먼저) 본보기가 그 파일을 지웠습니다. 어느 쪽인지 확인해 한쪽을 맞추세요.`,
@@ -1679,6 +1728,53 @@ function within(p, base) {
     return rel !== "" && !rel.startsWith("..") && !isAbsolute(rel);
 }
 
+/**
+ * 레포 안으로 **봉쇄된** 경로 해석. 소스 내용(문서 좌표·import 지정자)에서 나온 경로 문자열을
+ * 파일시스템에 대기 **전에** 반드시 통과시킨다.
+ *
+ * 왜 필요한가 — 이 검사기는 고객 자기 레포에서만 도는 물건이 아니다. `build.sh` 가 서빙 샌드박스에서
+ * **테넌트가 올린 소스**에 `--gate` 로 돌리고, 그 출력은 `/_gate-status` logTail 로 테넌트에게 돌아간다.
+ * 즉 입력·탐침·회신이 다 갖춰져 있어, 경계가 없으면 우리 빌드 박스에 대한 **존재 오라클**(D1/D2)과
+ * **임의 파일 읽기**(import 그래프)가 된다. 셋 다 심의가 통제군을 세워 실증했다.
+ *
+ * 접두 문자열로 막으려던 판이 있었다 — `tok.startsWith("..")` 는 선행 `..` 만 막고 `a/../../x` 에
+ * 뚫린다. 경로 경계는 **해석 후 봉쇄**로만 선다. `walkTree` 가 쓰는 규칙과 같은 것이다.
+ *
+ * 경계는 **소스 루트가 아니라 레포 루트**다. `src/app/page.tsx` 가 `../../content` 를 부르는 것은
+ * 정당한 간선이고(본보기 4벌 실물), 소스 루트로 좁히면 그 간선을 끊는다.
+ *
+ * 반환: 봉쇄된 절대경로 · 레포 밖으로 나가면 `null`. `null` 은 "없다"가 아니라 **"우리가 판정할
+ * 자리가 아니다"** 다 — 탐침하지도, 부재를 단정하지도 않는다.
+ */
+function containedPath(from, spec) {
+    const target = resolve(from, spec);
+    if (!within(target, repoRootDir)) return null; // ⓐ 문자열 해석 단계의 이탈(`..`·절대경로)
+    // ⓑ 심링크 이탈 — `resolve` 는 심링크를 풀지 않으므로 `link/x.ts`(link → /etc)는 ⓐ 를 통과한다.
+    //    성분마다 확인한다. 없는 성분을 만나면 그 경로는 애초에 존재하지 않으니 이탈도 아니다.
+    let cur = repoRootDir;
+    for (const part of relative(repoRootDir, target).split(sep)) {
+        if (part === "") continue;
+        cur = join(cur, part);
+        let st;
+        try {
+            st = lstatSync(cur);
+        } catch {
+            return target; // 없음 — 죽은 좌표인지는 부르는 쪽 규칙이 판단한다
+        }
+        if (st.isSymbolicLink()) {
+            let real;
+            try {
+                real = realpathSync(cur);
+            } catch {
+                return null;
+            }
+            if (!within(real, repoRootDir)) return null;
+            cur = real;
+        }
+    }
+    return cur;
+}
+
 /** 심링크인가. `lstatSync` 는 따라가지 않는다. 못 물으면 아니라고 답한다(뒤의 `statSync` 가 잡는다). */
 function isSymlink(p) {
     try {
@@ -1840,9 +1936,12 @@ function resolveImport(spec, fromFile) {
     else if (spec.startsWith(".")) base = resolve(dirname(fromFile), spec);
     else return null;
 
+    // ⚠ 후보 **마다** 봉쇄한다 — `base` 만 검사하면 마지막 성분이 심링크인 `src/lib/x.ts` 가 샌다.
     for (const cand of [base, ...[".ts", ".tsx", ".js", ".jsx"].flatMap((e) => [base + e, join(base, "index" + e)])]) {
+        const safe = containedPath(repoRootDir, cand);
+        if (safe === null) continue; // 레포 밖 — 따라가지 않는다
         try {
-            if (statSync(cand).isFile()) return cand;
+            if (statSync(safe).isFile()) return safe;
         } catch {
             /* 다음 후보 */
         }
@@ -1904,12 +2003,10 @@ function dynamicApiReachableFrom(entry) {
         if (seen.has(file)) continue;
         seen.add(file);
 
-        let raw;
-        try {
-            raw = readFileSync(file, "utf8");
-        } catch {
-            continue;
-        }
+        // `readSafe` 를 태운다 — 조용한 `catch {}` 는 못 읽은 것을 통과로 만든다(이 파일의 처분).
+        //   크기 상한도 여기서 듣는다(아래 MAX_READ_BYTES).
+        const raw = readSafe(file, `C1 서버 그래프 판독(${relative(repoRootDir, file)})`);
+        if (raw === null) continue;
         if (isClientBoundary(raw)) continue; // 클라이언트 경계 — 여기서 끊는다.
 
         const text = stripComments(raw); // 주석만 제거(문자열 값·import 지정자 보존)

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@zalkera/client",
-  "version": "0.21.3",
+  "version": "0.21.5",
   "description": "zalkera 헤드리스 CMS 공개 API 클라이언트 (테넌트 사이트용)",
   "license": "MIT",
   "author": "Credium Co., Ltd.",