🛡️ Sentinel: [MEDIUM] 임시 파일 생성 시 안전한 권한(0644) 명시적 설정

.jules/sentinel.md

@@ -99,3 +99,7 @@
 **Root cause:** The protected implementation added canonical names to the exclusion set but did not compare each observed directory entry through a locale-stable normalized key.
 **Prevention:** Build one `Locale.ROOT` lowercase set from the canonical sensitive names, compare every observed name against it, and add the original spelling to the exclusion set so downstream exact membership remains correct.
 **Evidence:** `testProcessIgnoreFileTreatsSensitiveNamesCaseInsensitively` failed on test-only commit `472b916cd40f70693c4e1eb48956042a25353feb` (CI run `31469596932`) and passed with the source fix at `bb113d858ccfc42ddaecf6729749b238e5ade2d0` (CI run `31469921661`).
+## 2024-05-24 - 임시 파일 생성 시 안전한 권한(0644) 명시적 설정
+**Vulnerability:** JVM의 기본 `Files.createTempFile()`은 `0600` 권한으로 파일을 생성하며, 파일 이동 후에도 이 권한이 유지되어 웹 서버가 파일을 읽지 못해 `403 Forbidden` 오류(가용성 침해)가 발생할 수 있습니다.
+**Learning:** 웹 서비스에서 제공될 임시 파일을 생성할 때는 기본 권한에 의존하지 않고, 명시적으로 POSIX 권한(예: `rw-r--r--`)을 부여해야 합니다.
+**Prevention:** 플랫폼 독립적인 100% 테스트 커버리지를 달성하기 위해 OS 의존적인 코드는 `supportsPosix`와 같은 Boolean 파라미터로 추상화하고 대체 경로에 대한 테스트를 작성해야 합니다.

CHANGELOG.md

@@ -40,3 +40,4 @@ All notable changes to this project are documented in this file.
   and current W3C Working Draft reference in `docs/doctoring`.
 - Record the generated-index readability decision, WCAG 2.2 engineering basis,
   contrast calculations, scope boundaries, and verification contract.
+- 보안 수정: 임시 파일 생성 시 403 Forbidden 오류를 방지하기 위해 파일 권한을 0644로 설정하도록 변경

src/main/kotlin/html4tree/main.kt

@@ -6,6 +6,7 @@ import java.nio.file.Files
 import java.nio.file.LinkOption
 import java.nio.file.StandardCopyOption
 import java.nio.file.attribute.BasicFileAttributes
+import java.nio.file.attribute.PosixFilePermissions
 import java.util.Base64
 import com.github.ajalt.clikt.core.CliktCommand
 import com.github.ajalt.clikt.parameters.options.option
@@ -370,6 +371,7 @@ fun process_ignore_file(curr_dir: File, dirFilesNames: Array<String>? = null): S
 fun write_index_file(
     curr_dir: File,
     content: String,
+    supportsPosix: Boolean = java.nio.file.FileSystems.getDefault().supportedFileAttributeViews().contains("posix"),
     moveFile: (
         java.nio.file.Path,
         java.nio.file.Path,
@@ -380,7 +382,18 @@ fun write_index_file(
     }
 ) {
     val indexPath = curr_dir.toPath().resolve("index.html")
-    val tempPath = Files.createTempFile(curr_dir.toPath(), ".index-", ".html")
+    // 보안 향상: 임시 파일이 웹 서버에 의해 제공될 때 403 Forbidden 오류가 발생하는 것을 방지하기 위해,
+    // JVM 기본 임시 파일 권한(0600) 대신 전역 읽기 가능 권한(0644)을 명시적으로 설정합니다.
+    val tempPath = if (supportsPosix) {
+        Files.createTempFile(
+            curr_dir.toPath(),
+            ".index-",
+            ".html",
+            PosixFilePermissions.asFileAttribute(PosixFilePermissions.fromString("rw-r--r--"))
+        )
+    } else {
+        Files.createTempFile(curr_dir.toPath(), ".index-", ".html")
+    }
     try {
         Files.write(tempPath, content.toByteArray(Charsets.UTF_8))
         try {

src/test/kotlin/html4tree/MainTest.kt

@@ -371,6 +371,14 @@ class MainTest {
         )
     }
 
+    @Test
+    fun testWriteIndexFileWithoutPosixSupport() {
+        val indexFile = File(tempDir, "index.html")
+        write_index_file(tempDir, "content without posix", supportsPosix = false)
+        assertTrue(indexFile.exists())
+        assertEquals("content without posix", indexFile.readText())
+    }
+
     @Test
     fun testWriteIndexFileCleansUpTempFileOnFailure() {
         // Files.move cannot replace a non-empty directory, so this drives the