From 5aef1cdfc3287a69d7e93995f97b0771fde341b7 Mon Sep 17 00:00:00 2001
From: seonghobae <8172694+seonghobae@users.noreply.github.com>
Date: Fri, 17 Jul 2026 21:13:24 +0000
Subject: [PATCH] =?UTF-8?q?=F0=9F=9B=A1=EF=B8=8F=20Sentinel:=20=EB=B0=A9?=
 =?UTF-8?q?=EC=96=B4=EC=A0=81=20=EB=AF=BC=EA=B0=90=20=ED=99=95=EC=9E=A5?=
 =?UTF-8?q?=EC=9E=90=20=EC=A0=9C=EC=99=B8=20=EC=B6=94=EA=B0=80?=
MIME-Version: 1.0
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit

- .pem, .db, .sqlite, .log 등 민감한 확장자를 동적으로 필터링하도록 추가
- 기존 테스트 코드에 민감 확장자 동적 제외 케이스 추가
- JaCoCo 100% 테스트 커버리지 유지
- Sentinel Journal 업데이트 완료
---
 .jules/sentinel.md                    |  5 +++++
 src/main/kotlin/html4tree/main.kt     | 10 ++++++++++
 src/test/kotlin/html4tree/MainTest.kt | 24 ++++++++++++++++++++++++
 3 files changed, 39 insertions(+)

diff --git a/.jules/sentinel.md b/.jules/sentinel.md
index 6ecf72f..b83df7c 100644
--- a/.jules/sentinel.md
+++ b/.jules/sentinel.md
@@ -83,3 +83,8 @@
 **Vulnerability:** 정적 HTML 생성 도구에서 매번 다른 Nonce를 동적으로 생성하여 CSP에 적용하는 것은, 캐싱 효율을 저하시킬 뿐만 아니라 정적 배포 환경(예: GitHub Pages 등)에서 올바른 보안 정책 수립을 방해할 수 있는 안티 패턴입니다.
 **Learning:** 정적으로 고정된 인라인 스타일이나 스크립트에는 난수화된 Nonce보다 콘텐츠 자체의 해시(SHA-256 등)를 사용하는 것이 안전하고 일관된 방식임을 배웠습니다.
 **Prevention:** 자동 생성되는 정적 HTML의 콘텐츠 보안 정책(CSP)에는 `style-src 'sha256-<HASH>'` 방식을 적용하고, `<style>` 태그에서 불필요한 `nonce` 속성을 제거하여 브라우저의 무결성 검증 기능을 적극 활용하십시오.
+
+## 2024-07-23 - [html4tree] 확장자 기반 민감 파일 동적 제외
+**Vulnerability:** 민감한 확장자를 가진 파일(예: `.pem`, `.db`, `.log`, `.sqlite`, `.key` 등)이 기본 제외 목록에 명시되어 있지 않아 디렉토리 인덱스에 노출될 위험 (Information Exposure).
+**Learning:** 기본 제외 목록에 고정된 특정 파일명(예: `id_rsa`)만 포함하는 것은 새로운 이름의 키나 데이터베이스 파일 등을 보호하지 못합니다. 숨김 파일 제외뿐만 아니라 특정 민감한 확장자를 가진 파일을 동적이고 대소문자 구분 없이 제외하는 것이 보다 강력한 심층 방어(defense-in-depth)를 제공함을 배웠습니다.
+**Prevention:** 정적 목록을 유지하되, `toLowerCase().endsWith(ext)`와 같이 동적으로 확장자를 검사하여 민감할 수 있는 모든 파일을 사전 차단(Secure by Default)하십시오.
diff --git a/src/main/kotlin/html4tree/main.kt b/src/main/kotlin/html4tree/main.kt
index b455862..f1ca4af 100644
--- a/src/main/kotlin/html4tree/main.kt
+++ b/src/main/kotlin/html4tree/main.kt
@@ -220,9 +220,19 @@ fun process_ignore_file(curr_dir: File, dirFilesNames: Array<String>? = null): S
     files_to_exclude.addAll(defaultSensitiveFiles)
 
     // 보안 향상: .env, .git 등 민감한 정보가 포함될 수 있는 숨김 파일(.으로 시작하는 모든 항목)을 기본적으로 노출하지 않도록 제외 (정보 노출 방지)
+    // 보안 향상: 민감한 확장자(.pem, .db 등)를 동적으로 검사하여 노출되지 않도록 제외
+    val sensitiveExtensions = listOf(".pem", ".key", ".keystore", ".truststore", ".sqlite", ".db", ".bak", ".log", ".pcap", ".sql")
     (dirFilesNames ?: curr_dir.list())?.forEach {
         if (it.startsWith(".")) {
             files_to_exclude.add(it)
+        } else {
+            val lowerCaseName = it.toLowerCase()
+            for (ext in sensitiveExtensions) {
+                if (lowerCaseName.endsWith(ext)) {
+                    files_to_exclude.add(it)
+                    break
+                }
+            }
         }
     }
 
diff --git a/src/test/kotlin/html4tree/MainTest.kt b/src/test/kotlin/html4tree/MainTest.kt
index 1349471..50361a2 100644
--- a/src/test/kotlin/html4tree/MainTest.kt
+++ b/src/test/kotlin/html4tree/MainTest.kt
@@ -570,6 +570,30 @@ class MainTest {
         assertFalse(excluded.contains("test.txt"))
     }
 
+    @Test
+    fun testProcessIgnoreFileSensitiveExtensions() {
+        // Create files with sensitive extensions (case-insensitive test as well)
+        File(tempDir, "private.pem").createNewFile()
+        File(tempDir, "database.DB").createNewFile()
+        File(tempDir, "app.log").createNewFile()
+        File(tempDir, "backup.BAK").createNewFile()
+        File(tempDir, "cert.key").createNewFile()
+        File(tempDir, "dump.sql").createNewFile()
+        // Create normal file to ensure it's not excluded
+        File(tempDir, "test.txt").createNewFile()
+        File(tempDir, "image.png").createNewFile()
+
+        val excluded = process_ignore_file(tempDir)
+        assertTrue(excluded.contains("private.pem"))
+        assertTrue(excluded.contains("database.DB"))
+        assertTrue(excluded.contains("app.log"))
+        assertTrue(excluded.contains("backup.BAK"))
+        assertTrue(excluded.contains("cert.key"))
+        assertTrue(excluded.contains("dump.sql"))
+        assertFalse(excluded.contains("test.txt"))
+        assertFalse(excluded.contains("image.png"))
+    }
+
     @Test
     fun testIgnoreFileIsDirectory() {
         val ignoreDir = File(tempDir, ".html4ignore")