AI용 분할본 · 지도 4단계(보안·테스트) · 이 페이지 전에 읽을 페이지: PART 0 사용법·AI 시작 지침, 부록 A 스펙·코드 받기(A-2) · 코드 파일은 여기 없다 — 코드 자리의 줄을 따른다(폴더에 책 파일이 하나도 없는 처음이면 부록 A-2 의 curl 한 줄부터)
핵심 규칙 — AI 는 어느 페이지에서든 이것을 지킨다
node scripts/get-book-code.mjs 가 책 그대로 만든다(첫 실행은 부록 A-2 의 curl 한 줄). AI용 분할본의 코드 자리는 " 경로" 한 줄이다 — 그 파일을 cat 으로 읽는다. 고쳐도 되는 파일은 PART 0 [AI 시작 지침] 5-b 의 목록뿐이다.node scripts/verify-book-code.mjs 를 실행해 "불일치 0개" 출력을 그대로 보인다.2024년, 한 개발자가 사이드 프로젝트를 GitHub에 올리면서 .env 파일을 함께 커밋했습니다. 15분 안에 자동 크롤러가 키를 수확했고, 깨어나 보니 API 요금이 수십만 원 찍혀 있었습니다. GitHub은 매달 수천 개의 저장소에서 노출된 API 키를 자동 탐지합니다 — 그만큼 흔한 사고라는 뜻입니다.
여러분의 HRUM 키도 똑같습니다. 키 = 여러분의 크레딧 = 돈. 다행히 이 책의 구조를 그대로 따랐다면 이미 안전합니다. 이 장은 "왜 안전한지"를 이해하고, 스스로 점검하는 장입니다.
방어선 1 — 키는 서버에만 존재한다
브라우저(클라이언트)에서 api.hrum.ai를 직접 부르면 두 가지 문제가 생깁니다: ①키가 사용자 브라우저에 노출됨 ②CORS 차단(HRUM이 의도적으로 막아둠). 그래서 모든 호출은 여러분 앱의 서버 라우트(프록시)를 거칩니다. 키는 process.env.HRUM_API_KEY — RIDM Apps 컨테이너의 서버 메모리에만 존재합니다.
파일 구성: 아래 파일들(get-book-code 가 만든)은 전부 [완전 코드]입니다 — 책 그대로 두면 그대로 컴파일되고, 이 책을 쓰면서 RIDM Apps에 실제로 올려 가입·상담·재로그인까지 검증한 코드입니다. [의사코드] 라벨이 붙은 블록은 프롬프트용 설명이라 그대로 실행되지 않습니다.
| 파일 | 역할 |
|---|---|
lib/db.ts | 앱 전용 DB 연결(Pool max 2) + 첫 요청 때 테이블 생성(회원·세션·원국, 관리자 세션·상담 수 기록 — B-7, 계산 결과 저장본 api_cache) |
lib/schema-extra.ts | 내 테이블(수정 허용) — 처음엔 비어 있고, 테이블을 늘릴 때 여기에 적는다(부록 E). lib/db.ts가 책 테이블 다음에 따로 실행. 여기 문장이 틀리면 책 테이블은 남지만 고칠 때까지 DB 를 쓰는 모든 요청이 실패 — 7-5 DB 테스트로 먼저 확인 |
lib/app-hooks.ts | 내 기능을 프록시·대화 이력에 끼우는 곳(수정 허용) — 책 그대로는 아무것도 바꾸지 않는다. 원국 여러 개·대화 기록 저장(부록 E)은 이 파일만 고친다 |
lib/auth.ts | 가입·로그인·세션·복구 — node:crypto scrypt, 세션 토큰은 해시만 저장. 세션은 회원당 최근 10개만 남김(로그인할 때 만료된 것·오래된 것 삭제 — 로그인을 되풀이해도 세션 표가 끝없이 늘지 않게) |
lib/get-session-user.ts | 세션 쿠키 읽기·쓰기, 요청한 회원 찾기 |
lib/failure-limit.ts | 로그인·복구 실패 횟수 제한(아이디 5회·IP 30회 / 15분) |
lib/body.ts · lib/client.ts | 요청 본문 안전하게 읽기(가입·로그인은 4KB 에서 읽기를 끊음, 같은 사이트 JSON 만 받는 jsonFromHere) · 화면에서 우리 라우트 부르기 |
lib/float-client.ts | HRUM 호출·오류 분류(rejected/unknown) — 키는 여기서만 |
lib/persona-list.ts · lib/persona.ts | 내 캐릭터 목록(수정 허용) · 목록 검사·조회 — 프록시가 key 로 말투·페르소나를 붙인다 (6-2) |
lib/dedup.ts | 같은 requestId 중복 과금 막기 + 회원별 요청 제한(메모리 — 앱 = 컨테이너 1개라 충분) |
lib/api-cache.ts | 계산 결과 저장·재사용 — 계산형(만세력·궁합·자미두수 명반·네이탈·꿈해몽)의 성공 응답을 회원·경로·입력(sha256)별로 api_cache 에 저장하고, 같은 입력이면 HRUM 을 부르지 않고 저장본을 돌려준다(과금·하루 한도 차감 없음). 상담(reading)·타로 뽑기는 매번 새 답이라 저장하지 않는다 |
app/api/float/[...path]/route.ts | HRUM 프록시 — 로그인 필수, 같은 사이트 JSON 만, 허용 경로·필드만 타입·길이 확인 뒤 새 객체로 다시 조립, 본문 16KB 상한, 회원별 속도·하루 한도, endUserId 강제(주제별 상담은 회원id:주제), 이 앱의 주제(lib/app-topics.ts)에 속한 경로·AI 만 열고 나머지는 404, 계산형은 같은 입력이면 저장본으로 답(lib/api-cache.ts) |
app/api/auth/* · app/api/me · app/api/profile · lib/profile.ts | 가입·로그인·로그아웃·복구 · 내 정보 · 원국 저장(같은 사이트 JSON·분당 20회·본문 1KB — 생년월일 검사는 lib/profile.ts — 내 라우트도 재사용) |
app/api/history/route.ts | 지난 대화 (6-2) — 주제별 상담은 ?topic= 으로 그 주제의 기억 |
lib/app-topics.ts | 이 앱의 주제(5-0) — 프록시와 대화 이력이 이 목록 밖의 경로·AI 를 막는다. 판마다 책이 정한 값(손으로 고치지 않는다) |
선택 기능 라우트는 [완전 코드]가 아닙니다: app/api/chat/route.ts(결정서에서 페르소나 자유채팅을 고른 경우만 — 6-3)와 app/api/report/route.ts(리포트를 붙일 때만 — 부록 B-6)는 이 책에 명세 프롬프트로만 있고, AI가 위 파일들(lib/float-client.ts·lib/dedup.ts·lib/get-session-user.ts)을 재사용해 작성합니다. 작성 뒤에는 7-5의 보안 테스트 항목(비로그인 401·requestId 400·중복 요청 1회 호출)을 같은 방식으로 추가해 통과시킵니다.
lib/db.ts — 앱 전용 DB (RIDM Apps가 DATABASE_URL 주입)코드 자리: cat lib/db.ts · 없거나 verify 가 "다름"이면 node scripts/get-book-code.mjs · 손으로 고치지 않는다 · 원문(사람용 — AI 는 열지 않는다)
lib/schema-extra.ts — 내 테이블 (수정 허용 — 처음엔 비어 있음, 부록 E)코드 자리: cat lib/schema-extra.ts · 고쳐도 되는 파일(5-b) — 내 테이블 — 테이블을 늘릴 때만(부록 E) · 원문(사람용 — AI 는 열지 않는다)
lib/auth.ts — 가입·로그인·세션·복구 (외부 인증 서비스 없음)코드 자리: cat lib/auth.ts · 없거나 verify 가 "다름"이면 node scripts/get-book-code.mjs · 손으로 고치지 않는다 · 원문(사람용 — AI 는 열지 않는다)
lib/get-session-user.ts — 세션 쿠키와 요청한 회원코드 자리: cat lib/get-session-user.ts · 없거나 verify 가 "다름"이면 node scripts/get-book-code.mjs · 손으로 고치지 않는다 · 원문(사람용 — AI 는 열지 않는다)
lib/failure-limit.ts — 로그인·복구 실패 제한코드 자리: cat lib/failure-limit.ts · 없거나 verify 가 "다름"이면 node scripts/get-book-code.mjs · 손으로 고치지 않는다 · 원문(사람용 — AI 는 열지 않는다)
lib/body.ts — 요청 본문 읽기코드 자리: cat lib/body.ts · 없거나 verify 가 "다름"이면 node scripts/get-book-code.mjs · 손으로 고치지 않는다 · 원문(사람용 — AI 는 열지 않는다)
lib/float-client.ts — HRUM 호출 한 곳코드 자리: cat lib/float-client.ts · 없거나 verify 가 "다름"이면 node scripts/get-book-code.mjs · 손으로 고치지 않는다 · 원문(사람용 — AI 는 열지 않는다)
lib/dedup.ts — 과금 요청 정확히 한 번 + 요청 제한코드 자리: cat lib/dedup.ts · 없거나 verify 가 "다름"이면 node scripts/get-book-code.mjs · 손으로 고치지 않는다 · 원문(사람용 — AI 는 열지 않는다)
lib/api-cache.ts — 계산 결과 저장·재사용 (만세력·궁합)코드 자리: cat lib/api-cache.ts · 없거나 verify 가 "다름"이면 node scripts/get-book-code.mjs · 손으로 고치지 않는다 · 원문(사람용 — AI 는 열지 않는다)
app/api/float/[...path]/route.ts — HRUM 프록시 (로그인 필수)코드 자리: cat app/api/float/[...path]/route.ts · 없거나 verify 가 "다름"이면 node scripts/get-book-code.mjs · 손으로 고치지 않는다 · 원문(사람용 — AI 는 열지 않는다)
lib/app-hooks.ts — 내 기능을 끼우는 곳 (수정 허용 — 책 그대로는 아무것도 안 바꿈, 부록 E)코드 자리: cat lib/app-hooks.ts · 고쳐도 되는 파일(5-b) — 내 기능 끼우기 — 프록시·대화 이력에 붙일 때만(부록 E) · 원문(사람용 — AI 는 열지 않는다)
app/api/auth/signup/route.ts — 가입 (복구 코드 1회 반환)코드 자리: cat app/api/auth/signup/route.ts · 없거나 verify 가 "다름"이면 node scripts/get-book-code.mjs · 손으로 고치지 않는다 · 원문(사람용 — AI 는 열지 않는다)
app/api/auth/login/route.ts — 로그인코드 자리: cat app/api/auth/login/route.ts · 없거나 verify 가 "다름"이면 node scripts/get-book-code.mjs · 손으로 고치지 않는다 · 원문(사람용 — AI 는 열지 않는다)
app/api/auth/logout/route.ts — 로그아웃코드 자리: cat app/api/auth/logout/route.ts · 없거나 verify 가 "다름"이면 node scripts/get-book-code.mjs · 손으로 고치지 않는다 · 원문(사람용 — AI 는 열지 않는다)
app/api/auth/recover/route.ts — 복구 코드로 비밀번호 재설정코드 자리: cat app/api/auth/recover/route.ts · 없거나 verify 가 "다름"이면 node scripts/get-book-code.mjs · 손으로 고치지 않는다 · 원문(사람용 — AI 는 열지 않는다)
app/api/me/route.ts — 로그인한 회원코드 자리: cat app/api/me/route.ts · 없거나 verify 가 "다름"이면 node scripts/get-book-code.mjs · 손으로 고치지 않는다 · 원문(사람용 — AI 는 열지 않는다)
lib/profile.ts — 생년월일 검사 (원국 라우트·내 라우트가 같이 씀)코드 자리: cat lib/profile.ts · 없거나 verify 가 "다름"이면 node scripts/get-book-code.mjs · 손으로 고치지 않는다 · 원문(사람용 — AI 는 열지 않는다)
app/api/profile/route.ts — 원국 저장·읽기코드 자리: cat app/api/profile/route.ts · 없거나 verify 가 "다름"이면 node scripts/get-book-code.mjs · 손으로 고치지 않는다 · 원문(사람용 — AI 는 열지 않는다)
app/api/health/route.ts — 살아 있는지 (DB 안 건드림)코드 자리: cat app/api/health/route.ts · 없거나 verify 가 "다름"이면 node scripts/get-book-code.mjs · 손으로 고치지 않는다 · 원문(사람용 — AI 는 열지 않는다)
로그인·가입·복구 화면 — 디자인은 결정서 13번에 맞춰 AI가 꾸미되, 흐름(가입 직후 복구 코드를 한 번만 보여주고 "적어뒀어요" 체크 뒤 진행, 복구 성공 시 새 코드를 다시 한 번 보여줌)은 그대로 둡니다.
lib/client.ts — 화면 → 우리 라우트 호출코드 자리: cat lib/client.ts · 없거나 verify 가 "다름"이면 node scripts/get-book-code.mjs · 손으로 고치지 않는다 · 원문(사람용 — AI 는 열지 않는다)
app/signup/page.tsx — 가입 화면코드 자리: cat app/signup/page.tsx · 없거나 verify 가 "다름"이면 node scripts/get-book-code.mjs · 손으로 고치지 않는다 · 원문(사람용 — AI 는 열지 않는다)
app/login/page.tsx — 로그인 화면코드 자리: cat app/login/page.tsx · 없거나 verify 가 "다름"이면 node scripts/get-book-code.mjs · 손으로 고치지 않는다 · 원문(사람용 — AI 는 열지 않는다)
app/recover/page.tsx — 비밀번호 재설정 화면코드 자리: cat app/recover/page.tsx · 없거나 verify 가 "다름"이면 node scripts/get-book-code.mjs · 손으로 고치지 않는다 · 원문(사람용 — AI 는 열지 않는다)
결과 불명(outcome unknown) 규칙: 타임아웃·네트워크 오류·5xx는 "HRUM이 처리(과금)했을 수도 있는" 상태입니다. 이때 프록시는 선점을 유지한 채 409 OUTCOME_UNKNOWN을 돌려주고, 같은 requestId로 다시 와도 상류를 다시 부르지 않습니다. 클라이언트는 자동 재시도 대신 "처리 결과 확인 중"을 보여주고 사용자가 누르면 같은 requestId로 재조회합니다(성공이 저장돼 있으면 그때 결과가 옵니다). 보장 범위는 같은 컨테이너, TTL 10분 동안뿐입니다 — 앱이 재시작되면(새 배포, 무료 플랜이 잠들었다 깨어남) 잊으므로, 그때는 HRUM(흐름) 콘솔 사용량 로그로 실제 과금 여부를 확인한 뒤 새 requestId로 다시 요청합니다. 상류가 4xx로 거절한 경우만(작업 전 실패) 선점을 풀어 재시도를 허용합니다.
메모리 저장소로 충분한 이유: RIDM Apps의 앱은 컨테이너 하나(프로세스 하나)로 돌아서 lib/dedup.ts와 lib/failure-limit.ts의 Map이 곧 공유 저장소입니다. 별도 캐시 서비스가 필요 없습니다. 오래 켜져 있는 유료 플랜에서도 쌓이지 않도록 만료된 항목을 주기적으로 지웁니다.
방어선 2 — 키는 Git에 존재하지 않는다
.env.local에만. .gitignore에 .env*가 있는지 확인 — 단 .env*만 넣으면 .env.example까지 통째로 무시돼 커밋 못 하니, 바로 아래 줄에 !.env.example(예외 처리)을 반드시 같이 넣는다.env.example만 커밋(아래 예시 그대로)HRUM_API_KEY 입력(암호화 저장, Git과 무관하게 주입) .gitignore — 전체 (순서 중요: !.env.example 예외는 반드시 .env* 다음 줄)코드 자리: cat .gitignore · 없거나 verify 가 "다름"이면 node scripts/get-book-code.mjs · 손으로 고치지 않는다 · 원문(사람용 — AI 는 열지 않는다)
PROGRESS.md는 AI 작업 메모(PART 0 규칙 5-e)라 커밋하지 않습니다. *.tsbuildinfo는 TypeScript 빌드 캐시입니다 — 커밋하면 RIDM Apps 빌드 검사에 "위험 코드 패턴"으로 잡혀 기록에 남습니다.
.env.example — 이 내용만 커밋(값은 전부 비움), .env.local 은 실제 값으로 채우되 절대 커밋 금지코드 자리: cat .env.example · 없거나 verify 가 "다름"이면 node scripts/get-book-code.mjs · 손으로 고치지 않는다 · 원문(사람용 — AI 는 열지 않는다)
로컬에서 DB는? 개발하는 컴퓨터에 PostgreSQL이 있으면 그 주소를 .env.local의 DATABASE_URL에 넣습니다. 없으면 AI에게 "로컬 PostgreSQL을 띄워서 DATABASE_URL을 채워 주세요"라고 하면 됩니다(Docker가 있으면 컨테이너 하나. docker ps 가 오류를 내면 Docker Desktop(또는 colima)을 먼저 켭니다 — 설치돼 있어도 꺼져 있으면 실패합니다). 로컬 DB가 번거로우면 로그인이 필요 없는 부분(운세 화면·컴포넌트)부터 만들고, 로그인 흐름 확인은 RIDM Apps에 올린 뒤 해도 됩니다.
여러분이 넣는 비밀값은 HRUM_API_KEY(float_live_…) 하나NEXT_PUBLIC_ 절대 금지(이 키 = 여러분의 크레딧). 관리자 페이지(부록 B-7)를 켜면 ADMIN_PASSWORD 와 ADMIN_PATH 도 콘솔 환경변수에만 둡니다 — ADMIN_PASSWORD 는 AI 창에서 만들거나 채팅에 적지 않고(사용자가 별도 터미널이나 비밀번호 관리 앱의 생성기로 만든다), ADMIN_PATH 는 B-7 절차대로 AI 가 만들어 사용자에게 한 번만 전달합니다. 둘 다 코드·커밋·로그에는 적지 않습니다. 이 앱에는 브라우저에 공개되는 설정값이 없으므로 NEXT_PUBLIC_으로 시작하는 변수가 하나라도 보이면 잘못 만든 것입니다.
방어선 3 — 남용을 막는다
프록시는 세 개의 문을 HRUM 을 부르기 전에 차례로 통과시킵니다: ①로그인한 회원인가(비로그인 401) ②이 앱 화면에서 온 JSON 요청인가(아니면 403) ③회원별 속도·하루 한도 안인가(분당 10회, 하루 상담·궁합·타로·꿈해몽 각 50회 · 만세력·자미두수 명반·네이탈 각 300회 · 성격유형 100회 — 넘으면 429. 이 앱의 주제가 아닌 경로는 아예 404). 배포된 주소를 누가 알아내도 가입 없이는 여러분 크레딧을 못 쓰고, 가입해도 하루에 쓸 수 있는 양에 천장이 있습니다. 하루 숫자는 프록시 파일의 DAILY_LIMIT 에서 여러분 앱에 맞게 바꿉니다(한국 날짜 기준, usage_log 에서 세므로 재시작해도 초기화되지 않습니다). 계산형(만세력·궁합·자미두수 명반·네이탈·꿈해몽)은 한 번 받은 결과를 회원·입력별로 저장해 두었다가(lib/api-cache.ts), 같은 회원이 같은 입력을 다시 보내면 하루 한도를 세기 전에 저장본을 돌려줍니다 — HRUM 호출도 과금도 하루 한도 차감도 없습니다. 로그인·복구는 실패가 쌓이면 15분 동안 잠깁니다. 봇·도구는 RIDM Apps 관문이 따로 걸러, 잠든 무료 앱을 깨우지 못합니다(8-3).
왜 프록시를 "문이 활짝 열린" 채로 두면 안 되나요? 이 앱의 서버는 여러분의 HRUM 키를 들고 대신 호출해 주는 곳입니다. 로그인 확인이 없으면 주소를 아는 누구나POST /api/float/reading를 계속 보내서 여러분의 요금으로 호출할 수 있습니다 — 키를 훔칠 필요도 없이, 키가 달린 문을 대신 열어 주는 셈입니다. 로그인한 회원이라도 한도가 없으면 스크립트 하나로 하루 종일 쓸 수 있습니다. 그래서 위 세 문은 모두 HRUM 을 부르기 전에 닫혀 있어야 합니다.
왜 브라우저가 보낸 본문을 그대로 넘기면 안 되나요? 받은 본문을 통째로 HRUM 에 넘기면, 보낸 사람이 여러분이 정하려던 값(남의 기억 열쇠endUserId, 모델, 지시문 …)을 마음대로 끼워 넣을 수 있습니다. 그리고 본문 크기에 한도가 없으면 아주 큰 요청 하나로 서버 메모리도 채울 수 있습니다. 그래서 이 프록시는 경로마다 허용한 필드만 골라 숫자는 숫자, 글자는 글자인지와 길이를 확인한 뒤 새 객체로 다시 조립해서 넘기고, 나머지는 읽지도 않고 버립니다(성격유형의answers도 항목마다 다시 조립합니다). 새 라우트를 만들 때도 같은 순서를 따르세요 — 로그인 → 같은 사이트 → 한도 → 필드 고르기·검사 → 호출.
[프롬프트]
보안 점검을 실행하고 각 항목의 실제 명령 결과를 보여 주세요:
1. git ls-files | grep -E "(^|/)\.env" → .env.example 만 나와야 함 (next-env.d.ts 는 Next 가 만드는 타입 파일이라 대상 아님) (아직 한 번도 커밋하지 않았다면 빈 출력도 정상 — 8-1 에서 스테이징한 뒤 다시 확인)
2. grep -rn "float_live_" . --include="*.ts" --include="*.tsx" --include="*.js" | grep -v node_modules → 0건이어야 함
3. git log --all -p | grep -cE "float_live_[A-Za-z0-9_-]{20,}" → 0 이어야 함 (과거 커밋에도 실제 키 모양 문자열이 없어야! — "float_live_" 라는 단어 자체는 문서에 나와도 괜찮다)
4. git check-ignore .env.local → 경로가 출력되면 정상
5. grep -rn "NEXT_PUBLIC_" app lib components → 0건이어야 함
6. grep -rn "document.cookie" app lib components → 0건이어야 함 (세션 쿠키는 서버에서만)
7. npm audit --audit-level=high → high 이상 0건 (RIDM Apps 빌드 검사도 같은 것을 본다. 무엇이 나오든 package.json 은 고치지 않는다 — audit 결과를 완료 보고에 그대로 적고 책 개정(get-book-code --force)을 기다린다 — 8-0)
8. grep -nE "^[^#]*=.+" .env.example → 0건이어야 함 (# 로 시작하는 설명 줄은 제외) (예시 파일은 값을 전부 비운다 — postgresql://user:password@… 같은 예시 주소도 RIDM Apps 빌드 검사가 비밀값으로 보고 빌드를 막는다)
9. npx vitest run → 전부 통과 (7-5)
10. 7-3-1 점검표의 명령을 전부 실행해 결과를 보여 주세요 (프록시·입력·한도)
7-3 이 "비밀값이 새지 않았나"를 본다면, 이 표는 "내 서버의 문이 열려 있지 않나"를 봅니다. 책 코드를 그대로 쓰면 전부 통과합니다. AI 가 라우트를 새로 만들었거나 고쳤다면 배포 전에 반드시 다시 돌립니다 — 새 라우트가 로그인 확인이나 입력 검사를 빠뜨리는 것이 가장 흔한 사고입니다.
| 점검 | 왜 필요한가 |
|---|---|
| 1. 로그인 확인 없는 라우트가 없다 | 확인이 빠진 라우트가 "키를 대신 써 주는 문"입니다. 가입·로그인처럼 원래 열려 있어야 하는 것만 예외 |
| 2. 브라우저 본문을 통째로 넘기지 않는다 | 통째로 넘기면 허용하지 않은 필드를 끼워 넣을 수 있습니다. 허용 필드를 골라 새 객체로 조립해야 합니다 |
| 3. 본문 크기와 글자 길이·타입 상한이 있다 | 큰 본문·이상한 타입(배열·객체)이 서버를 붙잡거나 상류로 새어 나갑니다 |
| 4. 호출 횟수 제한이 분당·하루 두 겹이다 | 분당 제한만으로는 하루 종일 쓸 수 있습니다. 하루 한도가 요금 폭탄의 천장입니다 |
| 5. 바꾸는 요청은 같은 사이트의 JSON 만 | 다른 사이트에 숨겨 둔 폼이 로그인한 회원의 브라우저로 요금 나가는 요청을 보내는 것을 막습니다 |
| 6. 키 이름이 서버 파일 한 곳에만 있다 | 브라우저로 가는 코드에 키가 섞이면 누구나 개발자 도구로 봅니다 |
| 7. 오류 응답에 안쪽 정보가 없다 | 오류 문구·스택이 그대로 나가면 서버 구조와 상류 응답이 공개됩니다 |
| 8. CORS 를 열지 않았고, 쿠키는 HttpOnly·Secure·SameSite | 다른 사이트가 이 앱의 응답을 읽거나 세션 쿠키를 화면 스크립트가 읽는 것을 막습니다 |
| 9. 화면에 HTML 을 그대로 꽂는 코드와 SQL 이어 붙이기가 없다 | 모델 답변·회원 입력이 화면 스크립트나 SQL 로 실행되는 것을 막습니다 |
[프롬프트]
7-3-1 점검표를 실행하고 각 항목의 실제 명령 결과를 보여 주세요. 기대와 다르면 고치기 전에 먼저 알려 주세요:
1. find app/api -name route.ts -exec grep -L getSessionUser {} + → 가입·로그인·로그아웃·복구·health 5개만 나와야 함 (그 밖의 파일이 나오면 그 라우트가 비로그인에도 열려 있다는 뜻)
2. grep -rn "req.json()\|request.json()" app lib → 0건이어야 함 (본문은 lib/body.ts 의 읽기 함수로만). 이어서 grep -n "pickBody\|ALLOWED" "app/api/float/[...path]/route.ts" → 허용 필드 표와 pickBody 가 보여야 하고, callFloat( 에 넘기는 것은 pickBody 로 만든 body 뿐이어야 함
3. grep -rn "readCappedText\|readStrings" app lib → 프록시·원국 저장·가입·로그인·복구 라우트가 나와야 함 (본문을 읽는 모든 POST 가 크기 상한을 거친다)
4. grep -n "dedup.allow\|callsToday\|DAILY_LIMIT" "app/api/float/[...path]/route.ts" → 분당 제한과 하루 한도가 둘 다 보여야 함
5. grep -rln "jsonFromHere" app → 프록시, 원국 저장, 가입·로그인·로그아웃·복구가 나와야 함
6. grep -rln "HRUM_API_KEY" app components lib → lib/float-client.ts 한 곳만 나와야 함
7. grep -rnE "\b(e|err|error)\.(message|stack)" app lib → 0건이어야 함
8. grep -rn "Access-Control" app lib next.config.ts → 0건이어야 함. 이어서 grep -n "httpOnly" lib/get-session-user.ts → secure: true, sameSite: 'lax' 와 함께 나와야 함
9. grep -rn "dangerouslySetInnerHTML=\|innerHTML *=" app components → 0건이어야 함. 이어서 grep -rn '${' lib | grep -E "SELECT|INSERT|UPDATE|DELETE" → 0건이어야 함 (SQL 문장에 값을 이어 붙이지 않는다)
결제·웹훅을 붙일 때: 이 책의 코드에는 결제가 없어서 웹훅 검사도 없습니다(9-4). PG의 웹훅을 받는 라우트를 만든다면 위 표에 한 줄을 더하세요 — 요청마다 PG 의 서명을 검증하고(실패하면 처리 없이 거절), 같은 알림이 두 번 와도 한 번만 처리합니다. 서명 검증이 없는 웹훅은 "결제 완료"를 누구나 흉내 낼 수 있는 문입니다.
이 책의 코드도 처음에는 값싼 AI 가 데모를 만들다 문이 열린 채로 나온 적이 있습니다. AI 는 "돌아가는 코드"를 먼저 만들고 문단속은 빠뜨리기 쉽습니다 — Claude·GPT·Gemini·Cursor·저가 모델 어느 것이든 마찬가지입니다. 그래서 서버 코드를 새로 만들거나 고치게 할 때는 요청 끝에 아래 지시문을 같이 붙여 넣습니다. 어느 모델에서도 통하도록 짧은 규칙만 적었습니다.
[보안 지시문 — 서버 코드를 만들거나 고칠 때 반드시 지킨다] 아래 규칙을 어기는 코드는 쓰지 마세요. 지킬 수 없는 규칙이 있으면 코드를 쓰기 전에 먼저 말해 주세요. 1. 로그인 먼저: 서버 라우트(app/api 아래)는 맨 처음에 로그인 세션을 확인하고, 없으면 바로 401 로 끝낸다. 예외는 가입·로그인·로그아웃·비밀번호 복구·health 뿐이다. 2. 바디를 그대로 넘기지 않는다: 요청 바디(또는 그 안의 객체)를 외부 API·DB 에 통째로 넘기지 않는다. 허용한 필드만 하나씩 골라 새 객체를 만든다. 모델·지시문·회원 id·가격처럼 서버가 정할 값은 브라우저가 보내도 쓰지 않는다. 3. 입력 검사: 바디는 크기 상한을 두고 읽는다. 필드마다 타입(문자열·숫자·배열)과 길이·범위를 서버에서 검사하고, 어긋나면 400. 배열은 항목 수와 항목 하나하나도 검사한다. 4. 비밀 키: API 키·비밀번호·DB 주소는 서버 환경변수에만 둔다. 이름에 NEXT_PUBLIC_ 금지, 'use client' 파일에서 process.env 금지, 코드·커밋·로그·응답에 실제 값 금지. 5. 호출 제한: 돈이 들거나 DB 에 쓰는 라우트는 회원별로 분당 제한과 하루 한도를 둔다. 넘으면 429. 한도 확인은 외부 API 를 부르기 전에 한다. 6. 웹훅: 결제 알림 같은 웹훅은 요청마다 보낸 곳의 서명을 검증하고, 틀리면 아무것도 처리하지 않고 거절한다. 같은 알림이 두 번 와도 한 번만 처리한다. 7. 오류 응답: 사용자에게는 짧은 문구만 보낸다. 에러 메시지·스택·SQL·외부 API 응답 원문은 응답에 넣지 않는다(서버 로그에만). 8. CORS 와 요청 출처: Access-Control-Allow-Origin: * 를 쓰지 않는다(CORS 헤더를 아예 넣지 않는다). 무언가를 바꾸는 요청(POST·PATCH·DELETE)은 같은 사이트에서 온 JSON 만 받는다. 세션 쿠키는 HttpOnly·Secure·SameSite. 9. SQL 에는 자리표시자($1, $2)로만 값을 넣고, 화면에 HTML 을 직접 꽂지 않는다(dangerouslySetInnerHTML·innerHTML 금지). 10. 결과 재사용: 계산형·풀이형 API 결과(만세력·자미두수·궁합·네이탈·꿈해몽·오늘의 사주·평생 사주 등)는 DB 에 저장하고 재사용한다. 같은 입력으로 반복 호출하지 않는다 — 다시 부르는 때는 출생 정보나 lang 이 바뀌었을 때뿐이다. 대화형(상담·채팅)은 매번 새로 생성되니 저장 대상이 아니다. 끝나면 무엇을 바꿨는지와 함께 7-3-2 검수 체크리스트의 실제 명령 결과를 보여 주세요.
AI가 만든 코드 검수 체크리스트 — 7-3-1 은 책 코드 전체를 정해진 기대값과 맞춰 봅니다. 이 체크리스트는 AI 가 이번에 새로 만들거나 고친 파일만 지시문대로 됐는지 봅니다. 배포 전에 7-3-1 과 함께 돌립니다.
[프롬프트] 7-3-2 검수 체크리스트를 실행해 주세요. 먼저 git status --short 로 이번에 새로 만들거나 고친 파일을 보여주고, 아래 명령의 <파일> 자리에 그 파일들을 넣어 하나씩 돌린 실제 출력을 그대로 보여 주세요. 정상과 다른 줄이 있으면 고치기 전에 먼저 알려주고, 고친 뒤 같은 명령을 다시 돌려 보여 주세요: 1. 로그인 먼저 — grep -n "getSessionUser" <바뀐 route.ts> → 라우트 함수마다 맨 앞에 있고 없으면 401 (가입·로그인·로그아웃·복구·health 만 예외) 2. 바디 그대로 넘기기 — grep -nE "req(uest)?\.json\(\)|\.\.\.(raw|body)" <파일> → 0건. 나오면 그 값이 fetch·sql 로 그대로 가는지 보고, 허용 필드로 새 객체를 만들게 고친다 3. 길이·타입 — grep -nE "typeof|\.length|Number\.is" <바뀐 route.ts> → 바디·쿼리에서 꺼낸 필드마다 검사가 보여야 함. 본문은 readCappedText·readStrings (lib/body.ts) 로만 읽는다 4. 비밀 키 — grep -n "NEXT_PUBLIC_\|process\.env" <파일> → NEXT_PUBLIC_ 은 0건, process.env 는 서버 파일(app/api·lib)에만. 'use client' 파일·components 에서는 0건 5. 호출 제한 — grep -nE "allow\(|Today|LIMIT" <바뀐 route.ts> → 돈이 들거나 DB 에 쓰는 라우트마다 회원 id 로 센 제한이 보여야 함 (이 책: dedup.allow(분당)과 callsToday·DAILY_LIMIT(하루)) 6. 웹훅 서명 — grep -rniE "webhook|signature" app/api → 웹훅 라우트가 없으면 0건이 정상. 있으면 서명 검증 줄이 처리보다 먼저 와야 함 (9-4) 7. 오류·CORS — grep -nE "\b(e|err|error)\.(message|stack)|String\(e\)|Access-Control" <파일> → 0건 (console.error 로그 안은 괜찮고, 응답 json 안은 안 됨) "확인했다"는 말만으로는 통과가 아니다 — 명령과 출력을 같이 보여 주세요.
HRUM_API_KEY를 새 값으로 덮어쓰기 — 저장하면 앱이 새 값으로 다시 시작됩니다과거 커밋에 키가 박혔다면 저장소를 지우고 새로 만드는 게 히스토리 세탁보다 빠릅니다 (어차피 키는 폐기했으니 급하진 않음). 새 저장소는 콘솔의 앱 상세에서 "변경"으로 다시 연결합니다.
네트워크 쓰로틀로 손 테스트하는 방식은 재현이 안 되고 AI가 "확인했다"고 거짓 보고하기 쉽습니다. 아래 파일들(get-book-code 가 만든)을 그대로 두고 npx vitest run으로 증명합니다. tests/auth.test.ts·tests/db.test.ts는 진짜 PostgreSQL에 대고 확인하므로 TEST_DATABASE_URL을 줄 때만 돌고, 없으면 건너뜁니다(테스트용 빈 DB를 쓰세요 — 운영 DB 금지). 없으면 npm run check는 멈추지 않고 DB 테스트 미실행 경고를 찍고 건너뜁니다 — 그때 로그인·내 테이블(lib/schema-extra.ts)은 실서버 smoke 로만 확인된 것이니 완료 보고에 "DB 테스트: 미실행(테스트 DB 없음)", 돌렸으면 "DB 테스트: 실행(skipped 0)"이라고 적습니다(PART 0 5-f).
테스트 DB 를 구하는 쉬운 방법: 컴퓨터에 Docker 가 있으면 한 줄로 띄웁니다 — docker run -d --rm --name saju-testdb -e POSTGRES_HOST_AUTH_METHOD=trust -p 127.0.0.1:54329:5432 postgres:17. docker ps 가 오류를 내면 Docker Desktop(또는 colima)을 먼저 켭니다 — 설치돼 있어도 꺼져 있으면 실패합니다. 몇 초 뒤 TEST_DATABASE_URL=postgresql://postgres@localhost:54329/postgres npx vitest run, 끝나면 docker stop saju-testdb(컨테이너째 지워짐). Docker 가 없으면 새 계정·외부 DB 서비스를 만들지 말고 "미실행"으로 보고합니다.
vitest.config.ts — 프로젝트 루트코드 자리: cat vitest.config.ts · 없거나 verify 가 "다름"이면 node scripts/get-book-code.mjs · 손으로 고치지 않는다 · 원문(사람용 — AI 는 열지 않는다)
tests/proxy.test.ts — 프록시: endUserId 강제·비로그인 401·같은 사이트 403·본문 413·필드 재조립·하루 한도 429·중복 1회·결과 불명 409·훅·타임아웃·계산 결과 재사용코드 자리: cat tests/proxy.test.ts · 없거나 verify 가 "다름"이면 node scripts/get-book-code.mjs · 손으로 고치지 않는다 · 원문(사람용 — AI 는 열지 않는다)
tests/auth.test.ts — 가입·로그인·세션·복구·본문 4KB 상한 (실제 PostgreSQL)코드 자리: cat tests/auth.test.ts · 없거나 verify 가 "다름"이면 node scripts/get-book-code.mjs · 손으로 고치지 않는다 · 원문(사람용 — AI 는 열지 않는다)
tests/failure-limit.test.ts — 실패 제한코드 자리: cat tests/failure-limit.test.ts · 없거나 verify 가 "다름"이면 node scripts/get-book-code.mjs · 손으로 고치지 않는다 · 원문(사람용 — AI 는 열지 않는다)
tests/db.test.ts — 내 테이블 실행·분리 (실제 PostgreSQL)코드 자리: cat tests/db.test.ts · 없거나 verify 가 "다름"이면 node scripts/get-book-code.mjs · 손으로 고치지 않는다 · 원문(사람용 — AI 는 열지 않는다)
tests/test-db.ts — 테스트 DB 주소에 설정 더하기 (테스트 도우미)코드 자리: cat tests/test-db.ts · 없거나 verify 가 "다름"이면 node scripts/get-book-code.mjs · 손으로 고치지 않는다 · 원문(사람용 — AI 는 열지 않는다)
tests/profile.test.ts — 생년월일 검사 (없는 날짜·시각 없는 분) + 원국 저장 문(다른 사이트 403·큰 본문·분당 20회)코드 자리: cat tests/profile.test.ts · 없거나 verify 가 "다름"이면 node scripts/get-book-code.mjs · 손으로 고치지 않는다 · 원문(사람용 — AI 는 열지 않는다)
tests/screens.test.tsx — 상담·원국 화면이 부르는 곳 (기억 불필요·원국 추가 폼)코드 자리: cat tests/screens.test.tsx · 없거나 verify 가 "다름"이면 node scripts/get-book-code.mjs · 손으로 고치지 않는다 · 원문(사람용 — AI 는 열지 않는다)
5-1의 tests/manseryeok.test.tsx와 6-2의 tests/assistant-message.test.tsx까지 합쳐 전부 통과해야 다음으로 갑니다(기준 앱: 테스트 DB 없이는 DB 가 필요한 테스트만 건너뛰고 나머지 전부 통과, 테스트 DB 를 붙이면 건너뜀 0 으로 전부 통과. vitest 가 찍는 "ESM syntax in a file loaded as CommonJS" 경고는 결과에 영향이 없으니 무시한다).
origin 은 push 할 때 생깁니다). push 뒤 git remote -v 로 origin이 내 GitHub 저장소(https://github.com/{내계정}/my-saju-app.git)인지 확인하고, 그 URL을 결정서 맨 아래 "저장소:" 줄에 적습니다AI용 분할본 · 지도 4단계(보안·테스트) · 이 페이지 전에 읽을 페이지: PART 0 사용법·AI 시작 지침, 부록 A 스펙·코드 받기(A-2) · 코드 파일은 여기 없다 — 코드 자리의 줄을 따른다(폴더에 책 파일이 하나도 없는 처음이면 부록 A-2 의 curl 한 줄부터)