From b3e74c5b45eb1ac7412299a4d9c0e3fe981b5931 Mon Sep 17 00:00:00 2001
From: seonghobae <8172694+seonghobae@users.noreply.github.com>
Date: Fri, 17 Jul 2026 03:44:22 +0000
Subject: [PATCH] =?UTF-8?q?=F0=9F=9B=A1=EF=B8=8F=20Sentinel:=20=EB=A1=9C?=
 =?UTF-8?q?=EC=BB=AC=20CLI=EC=9D=98=20=EC=83=81=EB=8C=80=20=EA=B2=BD?=
 =?UTF-8?q?=EB=A1=9C=20=EC=98=A4=EB=A5=98=20=EB=B0=A9=EC=A7=80=20=EB=B0=8F?=
 =?UTF-8?q?=20=EB=AF=BC=EA=B0=90=ED=95=9C=20=ED=8C=8C=EC=9D=BC=20=EB=85=B8?=
 =?UTF-8?q?=EC=B6=9C=20=EB=B0=A9=EC=A7=80?=
MIME-Version: 1.0
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit

---
 .jules/sentinel.md                    |  4 +++
 src/main/kotlin/html4tree/main.kt     | 12 ++++++--
 src/test/kotlin/html4tree/MainTest.kt | 41 ++++++++++++++++++++++++---
 3 files changed, 51 insertions(+), 6 deletions(-)

diff --git a/.jules/sentinel.md b/.jules/sentinel.md
index 6ecf72f..0482822 100644
--- a/.jules/sentinel.md
+++ b/.jules/sentinel.md
@@ -83,3 +83,7 @@
 **Vulnerability:** 정적 HTML 생성 도구에서 매번 다른 Nonce를 동적으로 생성하여 CSP에 적용하는 것은, 캐싱 효율을 저하시킬 뿐만 아니라 정적 배포 환경(예: GitHub Pages 등)에서 올바른 보안 정책 수립을 방해할 수 있는 안티 패턴입니다.
 **Learning:** 정적으로 고정된 인라인 스타일이나 스크립트에는 난수화된 Nonce보다 콘텐츠 자체의 해시(SHA-256 등)를 사용하는 것이 안전하고 일관된 방식임을 배웠습니다.
 **Prevention:** 자동 생성되는 정적 HTML의 콘텐츠 보안 정책(CSP)에는 `style-src 'sha256-<HASH>'` 방식을 적용하고, `<style>` 태그에서 불필요한 `nonce` 속성을 제거하여 브라우저의 무결성 검증 기능을 적극 활용하십시오.
+## 2026-07-17 - [Local CLI Path Traversal False Positive Prevention]
+**Vulnerability:** A local CLI tool (html4tree) incorrectly blocked relative path traversal using `..` as a security feature.
+**Learning:** Preventing `..` in local CLI tools creates usability bugs, as relative paths are an expected operating system standard. Path traversal logic should distinguish between web inputs and local administrative commands.
+**Prevention:** Do not enforce web-based path traversal protections (like banning `..`) on raw local filesystem paths unless the path escapes an explicitly defined, sandboxed root directory.
diff --git a/src/main/kotlin/html4tree/main.kt b/src/main/kotlin/html4tree/main.kt
index b455862..b1219fc 100644
--- a/src/main/kotlin/html4tree/main.kt
+++ b/src/main/kotlin/html4tree/main.kt
@@ -39,7 +39,6 @@ internal fun read_file_identity(file: File): FileIdentity {
 
 fun go(topDir: String, maxLevel: Int)  {
     require(topDir.isNotBlank())
-    require(!topDir.contains("..")) { "Path traversal sequences are not allowed." }
     // 보안 수정: symlink 검사를 우회하는 canonicalFile 대신 absoluteFile을 사용
     // canonicalFile은 symlink를 대상 경로로 해석하여 이어지는 NOFOLLOW_LINKS 검사를 무력화합니다.
     val top_dir = File(topDir).absoluteFile.toPath().normalize().toFile()
@@ -219,10 +218,19 @@ fun process_ignore_file(curr_dir: File, dirFilesNames: Array<String>? = null): S
     val defaultSensitiveFiles = listOf(".git", ".env", ".ssh", ".htpasswd", ".htaccess", "id_rsa", "id_ed25519", "secrets.yml", ".html4ignore", ".DS_Store", ".aws", ".kube", ".npmrc", ".gnupg", "config.json", "credentials.json")
     files_to_exclude.addAll(defaultSensitiveFiles)
 
-    // 보안 향상: .env, .git 등 민감한 정보가 포함될 수 있는 숨김 파일(.으로 시작하는 모든 항목)을 기본적으로 노출하지 않도록 제외 (정보 노출 방지)
+    val sensitiveExtensions = listOf(".pem", ".key", ".sqlite", ".log", ".bak", ".db", ".sql")
+
+    // 보안 향상: .env, .git 등 민감한 정보가 포함될 수 있는 숨김 파일(.으로 시작하는 모든 항목) 및 민감한 확장자(.pem, .key 등)를 기본적으로 제외 (정보 노출 방지)
     (dirFilesNames ?: curr_dir.list())?.forEach {
         if (it.startsWith(".")) {
             files_to_exclude.add(it)
+        } else {
+            for (ext in sensitiveExtensions) {
+                if (it.endsWith(ext, ignoreCase = true)) {
+                    files_to_exclude.add(it)
+                    break
+                }
+            }
         }
     }
 
diff --git a/src/test/kotlin/html4tree/MainTest.kt b/src/test/kotlin/html4tree/MainTest.kt
index 1349471..153ccd3 100644
--- a/src/test/kotlin/html4tree/MainTest.kt
+++ b/src/test/kotlin/html4tree/MainTest.kt
@@ -98,10 +98,17 @@ class MainTest {
     }
 
     @Test
-    fun testGoRejectsRelativePathTraversal() {
-        assertFailsWith<IllegalArgumentException> {
-            go("../../../etc/passwd", -1)
-        }
+    fun testGoAcceptsRelativePathTraversal() {
+        val subdir = File(tempDir, "subdir")
+        subdir.mkdir()
+        val fileInSubdir = File(subdir, "test.txt")
+        fileInSubdir.writeText("test")
+
+        // Use relative path with .. to navigate back and forth
+        val relativePath = "${subdir.absolutePath}/../${subdir.name}"
+        go(relativePath, -1)
+
+        assertTrue(File(subdir, "index.html").exists())
     }
 
     @Test
@@ -514,6 +521,32 @@ class MainTest {
         assertTrue(excluded.contains("index.html"))
     }
 
+    @Test
+    fun testProcessIgnoreFileSensitiveExtensions() {
+        File(tempDir, "private.key").createNewFile()
+        File(tempDir, "cert.pem").createNewFile()
+        File(tempDir, "database.sqlite").createNewFile()
+        File(tempDir, "app.log").createNewFile()
+        File(tempDir, "backup.bak").createNewFile()
+        File(tempDir, "data.db").createNewFile()
+        File(tempDir, "dump.sql").createNewFile()
+        File(tempDir, "safe.txt").createNewFile()
+        File(tempDir, "public.html").createNewFile()
+
+        val excluded = process_ignore_file(tempDir)
+
+        assertTrue(excluded.contains("private.key"))
+        assertTrue(excluded.contains("cert.pem"))
+        assertTrue(excluded.contains("database.sqlite"))
+        assertTrue(excluded.contains("app.log"))
+        assertTrue(excluded.contains("backup.bak"))
+        assertTrue(excluded.contains("data.db"))
+        assertTrue(excluded.contains("dump.sql"))
+
+        assertFalse(excluded.contains("safe.txt"))
+        assertFalse(excluded.contains("public.html"))
+    }
+
     @Test
     fun testProcessDirItEqualsCurrDir() {
         File(tempDir, "tempDir").mkdir()