From f808e0ed283d7abf06827c1026c45cb7247b9fc3 Mon Sep 17 00:00:00 2001
From: seonghobae <8172694+seonghobae@users.noreply.github.com>
Date: Tue, 7 Jul 2026 21:25:34 +0000
Subject: [PATCH 1/3] =?UTF-8?q?=EB=B3=B4=EC=95=88=20=EA=B0=9C=EC=84=A0:=20?=
 =?UTF-8?q?CSP=EC=9D=98=20'unsafe-inline'=20=EC=A0=9C=EA=B1=B0=20=EB=B0=8F?=
 =?UTF-8?q?=20nonce=20=EC=A0=81=EC=9A=A9?=
MIME-Version: 1.0
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit

- HTML 생성 시 XSS 취약점을 방지하기 위해 Content-Security-Policy(CSP)에서 'unsafe-inline'을 제거.
- <style> 태그에 동적으로 생성되는 임의의 nonce 속성을 추가하여 엄격한 인라인 스타일 정책 적용.
- 기존의 인라인 스타일 속성(style="...")들을 CSS 클래스(.link-item, .empty-msg)로 추출하여 CSP 준수.
- MainTest.kt에 CSP와 nonce 검증을 위한 테스트 케이스 업데이트.
---
 .jules/sentinel.md                    |  5 +++++
 src/main/kotlin/html4tree/main.kt     | 20 +++++++++++++++-----
 src/test/kotlin/html4tree/MainTest.kt |  9 ++++++++-
 3 files changed, 28 insertions(+), 6 deletions(-)

diff --git a/.jules/sentinel.md b/.jules/sentinel.md
index 012c3f5..b3829aa 100644
--- a/.jules/sentinel.md
+++ b/.jules/sentinel.md
@@ -27,3 +27,8 @@
 **Vulnerability:** `File(path).canonicalFile`를 사용하여 심볼릭 링크 여부를 검사하면, `canonicalFile` 함수 내부에서 심볼릭 링크를 이미 대상(target) 파일의 실제 경로로 해석(resolve)해 버리기 때문에, 이후에 진행되는 `Files.isDirectory(..., LinkOption.NOFOLLOW_LINKS)` 등의 심볼릭 링크 제한 검사가 완전히 무력화되는 취약점이 발견되었습니다.
 **Learning:** `canonicalFile`은 보안 검사(경로 조작 등)를 위해 절대 경로를 얻을 때 유용할 수 있지만, 심볼릭 링크 자체의 특성(심볼릭 링크인지 아닌지)을 보존해야 하는 맥락에서는 사용하면 안 됩니다.
 **Prevention:** 심볼릭 링크 여부를 검사해야 하거나 심볼릭 링크 자체를 제한해야 하는 경우에는 `canonicalFile` 대신 `absoluteFile.toPath().normalize().toFile()`과 같이 심볼릭 링크를 해석하지 않고 경로만 정규화하는 방식을 사용해야 합니다.
+
+## 2024-07-07 - [CSP 개선: unsafe-inline 제거 및 nonce 적용]
+**Vulnerability:** HTML 생성 시 `<meta http-equiv="Content-Security-Policy">`에 `style-src 'unsafe-inline'`이 설정되어 있어, 악의적인 사용자가 스타일 인젝션을 통해 XSS 공격을 수행할 위험이 존재했습니다.
+**Learning:** `unsafe-inline`은 브라우저에서 인라인 스크립트와 스타일을 허용하기 때문에 보안상 취약합니다. 동적으로 생성되는 HTML에 인라인 스타일을 적용해야 할 경우, CSS 클래스로 분리하고 스타일 태그에 동적으로 생성된 `nonce`를 사용하는 것이 더 안전하다는 것을 배웠습니다.
+**Prevention:** 향후 HTML 생성 시 인라인 스타일 속성(`style="..."`)의 사용을 지양하고, CSS 클래스와 `nonce` 기반의 CSP를 엄격하게 적용해야 합니다.
diff --git a/src/main/kotlin/html4tree/main.kt b/src/main/kotlin/html4tree/main.kt
index 1710d99..871dcf8 100644
--- a/src/main/kotlin/html4tree/main.kt
+++ b/src/main/kotlin/html4tree/main.kt
@@ -154,13 +154,23 @@ fun write_index_file(curr_dir: File, content: String) {
 fun process_dir(curr_dir: File){
     
     val exclude: Set<String> = process_ignore_file(curr_dir)
+    val nonce = java.util.UUID.randomUUID().toString().replace("-", "")
 
     val css = """
-              <style>
+              <style nonce="$nonce">
               ul {
                 list-style-type: none;
                 padding-left: 0;
               }
+              .link-item {
+                display: block;
+                width: 100%;
+              }
+              .empty-msg {
+                padding: 0.5rem;
+                color: #666;
+                font-style: italic;
+              }
               a {
                 padding: 0.5rem;
                 text-decoration: none;
@@ -182,7 +192,7 @@ fun process_dir(curr_dir: File){
         <meta charset="UTF-8">
         <meta name="viewport" content="width=device-width, initial-scale=1.0">
         <!-- 보안 향상: 인라인 스크립트 실행 방지 -->
-        <meta http-equiv="Content-Security-Policy" content="default-src 'none'; style-src 'unsafe-inline';">
+        <meta http-equiv="Content-Security-Policy" content="default-src 'none'; style-src 'nonce-$nonce';">
         <title>${curr_dir.getName().escapeHtml()}</title>
         ${css}
      </head>
@@ -191,7 +201,7 @@ fun process_dir(curr_dir: File){
          <h1>${curr_dir.getName().escapeHtml()}</h1>
          <nav aria-label="Directory listing">
          <ul>
-            <li><a style="display:block; width:100%" href="./.." aria-label="상위 디렉토리로 이동"><span aria-hidden="true">&#x21B0;</span> ..</a></li>
+            <li><a class="link-item" href="./.." aria-label="상위 디렉토리로 이동"><span aria-hidden="true">&#x21B0;</span> ..</a></li>
 """ 
 
     val index_middle = fun():String{ 
@@ -206,13 +216,13 @@ fun process_dir(curr_dir: File){
               val encodedHref = if (isLinkedDirectory) { "./${fileName.urlEncodePath()}/" } else { "./${fileName.urlEncodePath()}" }
               val ariaLabel = "${fileName} ${if (isLinkedDirectory) { "디렉토리" } else { "파일" }}".escapeHtml()
               val icon = if (isLinkedDirectory) { "&#128193;" } else { "&rtrif;" }
-              l.append("""          <li><a style="display:block; width:100%" href="${encodedHref}" aria-label="${ariaLabel}"><span aria-hidden="true">${icon}</span> ${fileName.escapeHtml()}</a></li>""")
+              l.append("""          <li><a class="link-item" href="${encodedHref}" aria-label="${ariaLabel}"><span aria-hidden="true">${icon}</span> ${fileName.escapeHtml()}</a></li>""")
               l.append('\n')
            }
         }
 
         if(l.isEmpty()){
-            l.append("""          <li><div style="padding: 0.5rem; color: #666; font-style: italic;">이 디렉토리는 비어 있습니다.</div></li>""")
+            l.append("""          <li><div class="empty-msg">이 디렉토리는 비어 있습니다.</div></li>""")
             l.append('\n')
         }
 
diff --git a/src/test/kotlin/html4tree/MainTest.kt b/src/test/kotlin/html4tree/MainTest.kt
index a3f8c76..76a4a35 100644
--- a/src/test/kotlin/html4tree/MainTest.kt
+++ b/src/test/kotlin/html4tree/MainTest.kt
@@ -13,6 +13,7 @@ import kotlin.test.assertFailsWith
 import kotlin.test.assertFalse
 import kotlin.test.assertNull
 import kotlin.test.assertTrue
+import kotlin.test.assertNotNull
 
 class MainTest {
     private lateinit var tempDir: File
@@ -160,7 +161,13 @@ class MainTest {
         assertTrue(htmlContent.contains("&#128193;"))
         assertFalse(htmlContent.contains("test.ignore"))
         assertTrue(htmlContent.contains("Content-Security-Policy"))
-        assertTrue(htmlContent.contains("default-src 'none'; style-src 'unsafe-inline';"))
+        assertFalse(htmlContent.contains("'unsafe-inline'"))
+        val cspRegex = "style-src 'nonce-([a-f0-9-]{32,36})'".toRegex()
+        val matchResult = cspRegex.find(htmlContent)
+        assertNotNull(matchResult, "CSP nonce should be generated")
+        val nonce = matchResult.groups[1]?.value ?: ""
+        assertTrue(htmlContent.contains("<style nonce=\"$nonce\">"), "Style tag should use the generated nonce")
+        assertTrue(htmlContent.contains("class=\"link-item\""))
     }
 
     @Test

From 6d06c888c43c296c5eb3f975c6a6a294d5183859 Mon Sep 17 00:00:00 2001
From: seonghobae <8172694+seonghobae@users.noreply.github.com>
Date: Wed, 8 Jul 2026 12:36:22 +0000
Subject: [PATCH 2/3] =?UTF-8?q?=EB=B3=B4=EC=95=88=20=EA=B0=9C=EC=84=A0:=20?=
 =?UTF-8?q?CSP=EC=9D=98=20'unsafe-inline'=20=EC=A0=9C=EA=B1=B0=20=EB=B0=8F?=
 =?UTF-8?q?=20nonce=20=EC=A0=81=EC=9A=A9?=
MIME-Version: 1.0
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit

- HTML 생성 시 XSS 취약점을 방지하기 위해 Content-Security-Policy(CSP)에서 'unsafe-inline'을 제거.
- <style> 태그에 동적으로 생성되는 임의의 nonce 속성을 추가하여 엄격한 인라인 스타일 정책 적용.
- 기존의 인라인 스타일 속성(style="...")들을 CSS 클래스(.link-item, .empty-msg)로 추출하여 CSP 준수.
- MainTest.kt에 CSP와 nonce 검증을 위한 테스트 케이스 업데이트.

From 7d96d1b9699deeb3a24562a30c74ea3885e32b45 Mon Sep 17 00:00:00 2001
From: seonghobae <8172694+seonghobae@users.noreply.github.com>
Date: Thu, 9 Jul 2026 10:29:48 +0000
Subject: [PATCH 3/3] =?UTF-8?q?=EB=B3=B4=EC=95=88=20=EA=B0=9C=EC=84=A0:=20?=
 =?UTF-8?q?CSP=EC=9D=98=20'unsafe-inline'=20=EC=A0=9C=EA=B1=B0=20=EB=B0=8F?=
 =?UTF-8?q?=20nonce=20=EC=A0=81=EC=9A=A9?=
MIME-Version: 1.0
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit

- HTML 생성 시 XSS 취약점을 방지하기 위해 Content-Security-Policy(CSP)에서 'unsafe-inline'을 제거.
- <style> 태그에 동적으로 생성되는 임의의 nonce 속성을 추가하여 엄격한 인라인 스타일 정책 적용.
- 기존의 인라인 스타일 속성(style="...")들을 CSS 클래스(.link-item, .empty-msg)로 추출하여 CSP 준수.
- MainTest.kt에 CSP와 nonce 검증을 위한 테스트 케이스 업데이트.