gc/gc-guide-api
6
0
포크 0
코드 이슈 풀 리퀘스트 Actions 위키 활동

release: 2026-03-25 (보안 수정 - 프록시 캐시 권한 우회 방지) #31

병합
htlee develop 에서 main 로 4 commits 를 머지했습니다 2026-03-25 14:39:55 +09:00
대화 0 커밋 4 파일 변경됨 3 +22 -10
htlee 코멘트됨, 2026-03-25 14:39:48 +09:00
소유자
Copy Link

릴리즈 내용

수정

  • 프록시 캐시 쿠키 권한 우회 방지: gc_proxy_auth 캐시 토큰에 URI 해시를 포함하여 다른 서비스에서 발급된 캐시 쿠키로 권한 없는 서비스에 접근할 수 없도록 수정

기타

  • CLAUDE_BOT_TOKEN env 설정 추가

포함 커밋

  • fix(auth): 프록시 캐시 쿠키에 URI 바인딩 추가하여 권한 우회 방지 (#30)
  • chore: CLAUDE_BOT_TOKEN env 추가 (#29)

테스트

  • 운영 서버 수동 배포 및 검증 완료
  • snp-api 권한 사용자로 snp-sync 접근 시 403 확인
## 릴리즈 내용 ### 수정 - **프록시 캐시 쿠키 권한 우회 방지**: gc_proxy_auth 캐시 토큰에 URI 해시를 포함하여 다른 서비스에서 발급된 캐시 쿠키로 권한 없는 서비스에 접근할 수 없도록 수정 ### 기타 - CLAUDE_BOT_TOKEN env 설정 추가 ## 포함 커밋 - fix(auth): 프록시 캐시 쿠키에 URI 바인딩 추가하여 권한 우회 방지 (#30) - chore: CLAUDE_BOT_TOKEN env 추가 (#29) ## 테스트 - [x] 운영 서버 수동 배포 및 검증 완료 - [x] snp-api 권한 사용자로 snp-sync 접근 시 403 확인
htlee added 4 commits 2026-03-25 14:39:48 +09:00 
gc_proxy_auth 캐시 토큰에 요청 URI 해시를 포함하여
다른 URL에서 발급된 캐시 쿠키로 권한 없는 서비스에
접근할 수 없도록 수정

- 토큰 형식: userId:expiry:hmac → userId:uriHash:expiry:hmac
- generateProxyCacheToken/validateProxyCacheToken에 targetUri 파라미터 추가
- AuthController에서 캐시 검증 전 X-Original-URI 추출

Co-Authored-By: Claude Opus 4.6 (1M context) <noreply@anthropic.com>
claude-bot 이 변경사항을 승인하였습니다. 2026-03-25 14:39:55 +09:00
claude-bot left a comment
멤버
Copy Link

릴리즈 승인 (via claude-bot)

릴리즈 승인 (via claude-bot)
htlee merged commit 377f79af23 into main 2026-03-25 14:39:55 +09:00
"로그인하여 이 대화에 참여"
리뷰어
No reviewers
claude-bot
레이블
레이블 초기화
No items
레이블 없음
마일스톤
마일스톤 초기화
No items
마일스톤 없음
담당자
담당자 초기화
담당자 없음
참여자 2명
알림
마감일
기한이 올바르지 않거나 범위를 벗어났습니다. 'yyyy-mm-dd'형식을 사용해주십시오.

마감일이 설정되지 않았습니다.

의존성

No dependencies set.

Reference: gc/gc-guide-api#31
No description provided.
Delete Branch "develop"

Deleting a branch is permanent. Although the deleted branch may continue to exist for a short time before it actually gets removed, it CANNOT be undone in most cases. Continue?