ttipo
aba274e56f
템플릿이 나중에 반드시 필요해질 공용 기능을 미리 갖춘다. multer 취약점을 해소한 김에, 안전한 업로드 기준도 함께 세운다. - modules/upload — 단일 파일 업로드 엔드포인트(POST /api/files)와 재사용 가능한 검증 설정 - 확장자와 MIME 을 **둘 다** 검사하는 허용목록 방식. 확장자만 보면 위장이 쉽고, MIME 만 보면 클라이언트가 보낸 값이라 신뢰할 수 없다. .html/.svg/.js 등 브라우저가 실행할 수 있는 형식은 허용 목록에서 제외. - 저장 파일명은 서버가 UUID 로 생성한다. 클라이언트 파일명을 경로에 쓰면 경로 탈출이 가능하다. - 크기 한도(UPLOAD_MAX_SIZE_MB, 기본 5MB) 초과 시 FILE_002(413). - 도메인 에러 코드 FILE_001/FILE_002 추가 후 세 플랫폼 사전 동기화. 함께 고친 것: - 전역 필터가 프레임워크의 영문 메시지를 그대로 노출하고 있었다. 크기 초과 시 multer 의 "File too large" 가 사용자에게 보였다 — 이제 코드에 대응하는 레지스트리 문구만 사용하며, 재정의는 BusinessException 으로만 가능하다. - sync:error-codes 가 컨테이너 안에서 실행되면 형제 디렉터리를 찾지 못해 cryptic 한 mkdir 오류를 냈다. 원인과 해결 방법을 알리도록 보강. - 업로드 볼륨 경로에 compose 기본값을 주어 기존 .env 에 키가 없어도 동작하게 함. 실제 multipart 요청으로 정상 업로드·형식 거부·MIME 위장·경로 탈출 시도·크기 초과· 파일 누락 시나리오를 모두 검증했다. 알려진 한계(확장자·MIME 검사는 파일 내용을 보지 않는다)는 security.md 에 명시하고, 업로드 디렉터리를 정적 서빙하지 말 것을 규칙으로 남겼다. Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>
105 lines
3.2 KiB
JSON
105 lines
3.2 KiB
JSON
{
|
|
"name": "backend",
|
|
"version": "0.0.1",
|
|
"description": "",
|
|
"author": "",
|
|
"private": true,
|
|
"license": "UNLICENSED",
|
|
"scripts": {
|
|
"build": "nest build",
|
|
"format": "prettier --write \"src/**/*.ts\" \"test/**/*.ts\"",
|
|
"start": "nest start",
|
|
"start:dev": "nest start --watch",
|
|
"start:debug": "nest start --debug --watch",
|
|
"start:prod": "node dist/main",
|
|
"lint": "eslint \"{src,apps,libs,test,scripts}/**/*.ts\" --max-warnings 0",
|
|
"lint:fix": "eslint \"{src,apps,libs,test,scripts}/**/*.ts\" --fix",
|
|
"test": "jest",
|
|
"test:watch": "jest --watch",
|
|
"test:cov": "jest --coverage",
|
|
"test:debug": "node --inspect-brk -r tsconfig-paths/register -r ts-node/register node_modules/.bin/jest --runInBand",
|
|
"test:e2e": "jest --config ./test/jest-e2e.json",
|
|
"sync:error-codes": "ts-node -P tsconfig.json scripts/sync-error-codes.ts",
|
|
"typeorm": "ts-node -r tsconfig-paths/register ./node_modules/typeorm/cli.js -d src/data-source.ts",
|
|
"migration:generate": "npm run typeorm -- migration:generate",
|
|
"migration:create": "ts-node -r tsconfig-paths/register ./node_modules/typeorm/cli.js migration:create",
|
|
"migration:run": "npm run typeorm -- migration:run",
|
|
"migration:revert": "npm run typeorm -- migration:revert",
|
|
"migration:show": "npm run typeorm -- migration:show"
|
|
},
|
|
"dependencies": {
|
|
"@nestjs/cache-manager": "^3.0.1",
|
|
"@nestjs/common": "^11.0.1",
|
|
"@nestjs/config": "^4.0.3",
|
|
"@nestjs/core": "^11.0.1",
|
|
"@nestjs/platform-express": "^11.0.1",
|
|
"@nestjs/schedule": "^6.1.1",
|
|
"@nestjs/swagger": "^11.2.6",
|
|
"@nestjs/terminus": "^11.0.0",
|
|
"@nestjs/throttler": "^6.4.0",
|
|
"@nestjs/typeorm": "^11.0.1",
|
|
"cache-manager": "^6.4.0",
|
|
"class-transformer": "^0.5.1",
|
|
"class-validator": "^0.14.4",
|
|
"helmet": "^8.1.0",
|
|
"nest-winston": "^1.10.0",
|
|
"pg": "^8.20.0",
|
|
"reflect-metadata": "^0.2.2",
|
|
"rxjs": "^7.8.1",
|
|
"typeorm": "^0.3.28",
|
|
"winston": "^3.17.0"
|
|
},
|
|
"devDependencies": {
|
|
"@eslint/eslintrc": "^3.2.0",
|
|
"@eslint/js": "^9.18.0",
|
|
"@nestjs/cli": "^11.0.0",
|
|
"@nestjs/schematics": "^11.0.0",
|
|
"@nestjs/testing": "^11.0.1",
|
|
"@swc/cli": "^0.8.1",
|
|
"@swc/core": "^1.15.24",
|
|
"@types/express": "^5.0.0",
|
|
"@types/jest": "^30.0.0",
|
|
"@types/multer": "^2.2.0",
|
|
"@types/node": "^22.10.7",
|
|
"@types/supertest": "^6.0.2",
|
|
"chokidar": "^5.0.0",
|
|
"eslint": "^9.18.0",
|
|
"eslint-config-prettier": "^10.0.1",
|
|
"eslint-plugin-prettier": "^5.2.2",
|
|
"globals": "^16.0.0",
|
|
"jest": "^30.0.0",
|
|
"prettier": "^3.4.2",
|
|
"source-map-support": "^0.5.21",
|
|
"supertest": "^7.0.0",
|
|
"ts-jest": "^29.2.5",
|
|
"ts-loader": "^9.5.2",
|
|
"ts-node": "^10.9.2",
|
|
"tsconfig-paths": "^4.2.0",
|
|
"typescript": "^5.7.3",
|
|
"typescript-eslint": "^8.20.0"
|
|
},
|
|
"overrides": {
|
|
"multer": "^2.4.0"
|
|
},
|
|
"jest": {
|
|
"moduleFileExtensions": [
|
|
"js",
|
|
"json",
|
|
"ts"
|
|
],
|
|
"rootDir": "src",
|
|
"moduleNameMapper": {
|
|
"^@/(.*)$": "<rootDir>/$1"
|
|
},
|
|
"testRegex": ".*\\.spec\\.ts$",
|
|
"transform": {
|
|
"^.+\\.(t|j)s$": "ts-jest"
|
|
},
|
|
"collectCoverageFrom": [
|
|
"**/*.(t|j)s"
|
|
],
|
|
"coverageDirectory": "../coverage",
|
|
"testEnvironment": "node"
|
|
}
|
|
}
|