From b531eb36799a4645301b4f779acf7bbb2a917b66 Mon Sep 17 00:00:00 2001
From: seonghobae <8172694+seonghobae@users.noreply.github.com>
Date: Wed, 15 Jul 2026 21:26:15 +0000
Subject: [PATCH 1/4] =?UTF-8?q?=F0=9F=9B=A1=EF=B8=8F=20Sentinel:=20[securi?=
 =?UTF-8?q?ty=20improvement]=20=EB=8F=99=EC=A0=81=EC=9C=BC=EB=A1=9C=20?=
 =?UTF-8?q?=EC=A4=91=EC=9A=94=20=ED=8C=8C=EC=9D=BC=20=EC=A0=9C=EC=99=B8?=
 =?UTF-8?q?=ED=95=98=EC=97=AC=20=EC=A0=95=EB=B3=B4=20=EB=85=B8=EC=B6=9C=20?=
 =?UTF-8?q?=EB=B0=A9=EC=A7=80?=
MIME-Version: 1.0
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit

기존의 정적 파일 리스트 검사 방식과 더불어, 파일 확장자 단위로 민감한 정보(인증키: `.pem`, `.key`, 데이터베이스: `.sqlite`, `.db`)가 담긴 파일을 동적으로 제외하도록 보완했습니다. 이를 통해 로컬 환경의 민감 데이터가 의도치 않게 노출되는 Information Exposure 취약점을 예방합니다.
---
 .jules/sentinel.md                    |  4 ++++
 src/main/kotlin/html4tree/main.kt     | 11 ++++++++---
 src/test/kotlin/html4tree/MainTest.kt |  4 ++--
 3 files changed, 14 insertions(+), 5 deletions(-)

diff --git a/.jules/sentinel.md b/.jules/sentinel.md
index 6ecf72f..5c092b0 100644
--- a/.jules/sentinel.md
+++ b/.jules/sentinel.md
@@ -83,3 +83,7 @@
 **Vulnerability:** 정적 HTML 생성 도구에서 매번 다른 Nonce를 동적으로 생성하여 CSP에 적용하는 것은, 캐싱 효율을 저하시킬 뿐만 아니라 정적 배포 환경(예: GitHub Pages 등)에서 올바른 보안 정책 수립을 방해할 수 있는 안티 패턴입니다.
 **Learning:** 정적으로 고정된 인라인 스타일이나 스크립트에는 난수화된 Nonce보다 콘텐츠 자체의 해시(SHA-256 등)를 사용하는 것이 안전하고 일관된 방식임을 배웠습니다.
 **Prevention:** 자동 생성되는 정적 HTML의 콘텐츠 보안 정책(CSP)에는 `style-src 'sha256-<HASH>'` 방식을 적용하고, `<style>` 태그에서 불필요한 `nonce` 속성을 제거하여 브라우저의 무결성 검증 기능을 적극 활용하십시오.
+## 2026-07-15 - [Dynamic File Exclusion]
+**Vulnerability:** Directory listing could expose sensitive credentials like .pem, .key files, or databases like .sqlite, .db if they are not explicitly ignored via .html4ignore or the static default sensitive files list.
+**Learning:** Static lists are prone to missing dynamically named files or specific extension types. It is necessary to match by extensions dynamically across all files in a directory to ensure these do not leak.
+**Prevention:** Implementing dynamic checks on filenames (like using `.endsWith`) correctly avoids exposing sensitive file types, acting as a stronger defense in depth.
diff --git a/src/main/kotlin/html4tree/main.kt b/src/main/kotlin/html4tree/main.kt
index b455862..6bbe2b3 100644
--- a/src/main/kotlin/html4tree/main.kt
+++ b/src/main/kotlin/html4tree/main.kt
@@ -216,12 +216,17 @@ fun process_ignore_file(curr_dir: File, dirFilesNames: Array<String>? = null): S
        files_to_exclude.add("index.html")
 
     // 보안 향상: 민감한 시스템, 설정, 시크릿 파일을 디렉토리 목록에서 기본적으로 제외하여 정보 노출(Information Exposure) 방지
-    val defaultSensitiveFiles = listOf(".git", ".env", ".ssh", ".htpasswd", ".htaccess", "id_rsa", "id_ed25519", "secrets.yml", ".html4ignore", ".DS_Store", ".aws", ".kube", ".npmrc", ".gnupg", "config.json", "credentials.json")
+    val defaultSensitiveFiles = listOf(".git", ".env", ".ssh", ".htpasswd", ".htaccess", "id_rsa", "id_ed25519", "id_ecdsa", "id_dsa", "secrets.yml", "secrets.json", ".html4ignore", ".DS_Store", ".aws", ".kube", ".npmrc", ".gnupg", "config.json", "credentials.json")
     files_to_exclude.addAll(defaultSensitiveFiles)
 
-    // 보안 향상: .env, .git 등 민감한 정보가 포함될 수 있는 숨김 파일(.으로 시작하는 모든 항목)을 기본적으로 노출하지 않도록 제외 (정보 노출 방지)
+    // 보안 향상: 숨김 파일 및 흔히 쓰이는 인증키(.pem, .key), 데이터베이스(.sqlite, .db) 확장자를 동적으로 제외하여 중요 정보 노출 방지
     (dirFilesNames ?: curr_dir.list())?.forEach {
-        if (it.startsWith(".")) {
+        val lowerCaseName = it.toLowerCase()
+        if (it.startsWith(".") ||
+            lowerCaseName.endsWith(".pem") ||
+            lowerCaseName.endsWith(".key") ||
+            lowerCaseName.endsWith(".sqlite") ||
+            lowerCaseName.endsWith(".db")) {
             files_to_exclude.add(it)
         }
     }
diff --git a/src/test/kotlin/html4tree/MainTest.kt b/src/test/kotlin/html4tree/MainTest.kt
index 1349471..7597527 100644
--- a/src/test/kotlin/html4tree/MainTest.kt
+++ b/src/test/kotlin/html4tree/MainTest.kt
@@ -267,7 +267,7 @@ class MainTest {
     fun testProcessIgnoreFileNoIgnore() {
         val excluded = process_ignore_file(tempDir, null)
         assertTrue(excluded.contains("index.html"))
-        assertEquals(17, excluded.size) // index.html + 16 default sensitive files
+        assertEquals(20, excluded.size) // index.html + 19 default sensitive files
     }
 
     @Test
@@ -277,7 +277,7 @@ class MainTest {
 
         val excluded = process_ignore_file(tempDir, arrayOf("test1.txt", "test3.txt"))
         assertTrue(excluded.contains("index.html"))
-        assertEquals(18, excluded.size) // index.html + 16 default sensitive + test1.txt
+        assertEquals(21, excluded.size) // index.html + 19 default sensitive + test1.txt
     }
 
     @Test

From 03f3eac2853b42f9e3ce32f8a596b8c216df67d1 Mon Sep 17 00:00:00 2001
From: seonghobae <8172694+seonghobae@users.noreply.github.com>
Date: Wed, 15 Jul 2026 22:07:02 +0000
Subject: [PATCH 2/4] =?UTF-8?q?=F0=9F=9B=A1=EF=B8=8F=20Sentinel:=20[securi?=
 =?UTF-8?q?ty=20improvement]=20=EB=8F=99=EC=A0=81=EC=9C=BC=EB=A1=9C=20?=
 =?UTF-8?q?=EC=A4=91=EC=9A=94=20=ED=8C=8C=EC=9D=BC=20=EC=A0=9C=EC=99=B8?=
 =?UTF-8?q?=ED=95=98=EC=97=AC=20=EC=A0=95=EB=B3=B4=20=EB=85=B8=EC=B6=9C=20?=
 =?UTF-8?q?=EB=B0=A9=EC=A7=80?=
MIME-Version: 1.0
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit

기존의 정적 파일 리스트 검사 방식과 더불어, 파일 확장자 단위로 민감한 정보(인증키: `.pem`, `.key`, 데이터베이스: `.sqlite`, `.db`)가 담긴 파일을 동적으로 제외하도록 보완했습니다. 이를 통해 로컬 환경의 민감 데이터가 의도치 않게 노출되는 Information Exposure 취약점을 예방합니다.
---
 .jules/sentinel.md | 8 ++++----
 1 file changed, 4 insertions(+), 4 deletions(-)

diff --git a/.jules/sentinel.md b/.jules/sentinel.md
index 5c092b0..990eae6 100644
--- a/.jules/sentinel.md
+++ b/.jules/sentinel.md
@@ -83,7 +83,7 @@
 **Vulnerability:** 정적 HTML 생성 도구에서 매번 다른 Nonce를 동적으로 생성하여 CSP에 적용하는 것은, 캐싱 효율을 저하시킬 뿐만 아니라 정적 배포 환경(예: GitHub Pages 등)에서 올바른 보안 정책 수립을 방해할 수 있는 안티 패턴입니다.
 **Learning:** 정적으로 고정된 인라인 스타일이나 스크립트에는 난수화된 Nonce보다 콘텐츠 자체의 해시(SHA-256 등)를 사용하는 것이 안전하고 일관된 방식임을 배웠습니다.
 **Prevention:** 자동 생성되는 정적 HTML의 콘텐츠 보안 정책(CSP)에는 `style-src 'sha256-<HASH>'` 방식을 적용하고, `<style>` 태그에서 불필요한 `nonce` 속성을 제거하여 브라우저의 무결성 검증 기능을 적극 활용하십시오.
-## 2026-07-15 - [Dynamic File Exclusion]
-**Vulnerability:** Directory listing could expose sensitive credentials like .pem, .key files, or databases like .sqlite, .db if they are not explicitly ignored via .html4ignore or the static default sensitive files list.
-**Learning:** Static lists are prone to missing dynamically named files or specific extension types. It is necessary to match by extensions dynamically across all files in a directory to ensure these do not leak.
-**Prevention:** Implementing dynamic checks on filenames (like using `.endsWith`) correctly avoids exposing sensitive file types, acting as a stronger defense in depth.
+## 2026-07-15 - [동적 중요 파일 제외 로직 추가]
+**Vulnerability:** `.pem`, `.key`와 같은 자격 증명 파일이나 `.sqlite`, `.db`와 같은 데이터베이스 파일이 `.html4ignore` 또는 기본 민감 파일 목록에서 명시적으로 무시되지 않을 경우 디렉토리 목록 조회 시 노출될 수 있었습니다.
+**Learning:** 정적 목록만 사용하는 것은 동적으로 생성된 파일 이름이나 특정 확장자 유형을 모두 누락할 위험이 있습니다. 이러한 파일이 노출되지 않도록 디렉토리 내의 모든 파일에 대해 동적으로 확장자 단위로 검사해야 합니다.
+**Prevention:** 파일 이름에 대해 동적인 검사(예: `.endsWith` 사용)를 적용하여 민감한 파일 유형의 노출을 정확하게 방지하고, 이를 통해 강력한 심층 방어(defense in depth) 수단으로 활용하십시오.

From ffa9df7b0d3ff8e43af8d42c48806b87a894919e Mon Sep 17 00:00:00 2001
From: seonghobae <8172694+seonghobae@users.noreply.github.com>
Date: Wed, 15 Jul 2026 22:47:57 +0000
Subject: [PATCH 3/4] =?UTF-8?q?=F0=9F=9B=A1=EF=B8=8F=20Sentinel:=20[securi?=
 =?UTF-8?q?ty=20improvement]=20=EB=8F=99=EC=A0=81=EC=9C=BC=EB=A1=9C=20?=
 =?UTF-8?q?=EC=A4=91=EC=9A=94=20=ED=8C=8C=EC=9D=BC=20=EC=A0=9C=EC=99=B8?=
 =?UTF-8?q?=ED=95=98=EC=97=AC=20=EC=A0=95=EB=B3=B4=20=EB=85=B8=EC=B6=9C=20?=
 =?UTF-8?q?=EB=B0=A9=EC=A7=80?=
MIME-Version: 1.0
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit

기존의 정적 파일 리스트 검사 방식과 더불어, 파일 확장자 단위로 민감한 정보(인증키: `.pem`, `.key`, 데이터베이스: `.sqlite`, `.db`)가 담긴 파일을 동적으로 제외하도록 보완했습니다. 이를 통해 로컬 환경의 민감 데이터가 의도치 않게 노출되는 Information Exposure 취약점을 예방합니다.
---
 src/test/kotlin/html4tree/MainTest.kt | 12 ++++++++++++
 1 file changed, 12 insertions(+)

diff --git a/src/test/kotlin/html4tree/MainTest.kt b/src/test/kotlin/html4tree/MainTest.kt
index 7597527..c1d08aa 100644
--- a/src/test/kotlin/html4tree/MainTest.kt
+++ b/src/test/kotlin/html4tree/MainTest.kt
@@ -280,6 +280,18 @@ class MainTest {
         assertEquals(21, excluded.size) // index.html + 19 default sensitive + test1.txt
     }
 
+    @Test
+    fun testProcessIgnoreFileDynamicExclusion() {
+        val fileNames = arrayOf("test.pem", "test.KEY", "mydb.sqlite", "app.DB", "safe.txt", ".hidden")
+        val excluded = process_ignore_file(tempDir, fileNames)
+        assertTrue(excluded.contains("test.pem"))
+        assertTrue(excluded.contains("test.KEY"))
+        assertTrue(excluded.contains("mydb.sqlite"))
+        assertTrue(excluded.contains("app.DB"))
+        assertTrue(excluded.contains(".hidden"))
+        assertFalse(excluded.contains("safe.txt"))
+    }
+
     @Test
     fun testProcessIgnoreFileInvalidRegex() {
         val ignoreFile = File(tempDir, ".html4ignore")

From 515d3814015990d4e3ce77392f1604deb60f776d Mon Sep 17 00:00:00 2001
From: seonghobae <8172694+seonghobae@users.noreply.github.com>
Date: Wed, 15 Jul 2026 23:23:01 +0000
Subject: [PATCH 4/4] =?UTF-8?q?=F0=9F=9B=A1=EF=B8=8F=20Sentinel:=20[securi?=
 =?UTF-8?q?ty=20improvement]=20=EB=8F=99=EC=A0=81=EC=9C=BC=EB=A1=9C=20?=
 =?UTF-8?q?=EC=A4=91=EC=9A=94=20=ED=8C=8C=EC=9D=BC=20=EC=A0=9C=EC=99=B8?=
 =?UTF-8?q?=ED=95=98=EC=97=AC=20=EC=A0=95=EB=B3=B4=20=EB=85=B8=EC=B6=9C=20?=
 =?UTF-8?q?=EB=B0=A9=EC=A7=80?=
MIME-Version: 1.0
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit

기존의 정적 파일 리스트 검사 방식과 더불어, 파일 확장자 단위로 민감한 정보(인증키: `.pem`, `.key`, 데이터베이스: `.sqlite`, `.db`)가 담긴 파일을 동적으로 제외하도록 보완했습니다. 이를 통해 로컬 환경의 민감 데이터가 의도치 않게 노출되는 Information Exposure 취약점을 예방합니다.