surinz/.claude/rules/security.md

name, description

name	description
security	프로젝트 공통 보안 규칙 — 민감정보 커밋 금지, JWT 쿠키/secure storage, SQL Injection 차단, DTO 검증, 보안 헤더/CORS/Rate Limiting, 컨테이너 비-root 구동.

보안

• .env* 등 민감정보 Git 커밋 금지 (.gitignore 확인) — 예시는 *.example(예: .env.development.example, .env.example) 로만 공유
• JWT는 HttpOnly·Secure 쿠키 사용 (웹 localStorage 금지) / 모바일은 flutter_secure_storage 사용
• TypeORM ORM 쿼리 사용으로 SQL Injection 차단 (Raw 쿼리 시 파라미터 바인딩 필수)
• 입력값은 DTO(class-validator) 검증을 거친 뒤 서비스 계층에 전달
• 보안 헤더(helmet)·CORS·Rate Limiting(@nestjs/throttler) 적용
• Docker 컨테이너 내부 root 실행 금지 (비-root 사용자로 구동)

환경변수 관리 규칙은 env-structure, 도메인별 적용은 nestjs · flutter 참조.