🛡️ Sentinel: [security improvement] 동적으로 중요 파일 제외하여 정보 노출 방지

.jules/sentinel.md

@@ -83,3 +83,7 @@
 **Vulnerability:** 정적 HTML 생성 도구에서 매번 다른 Nonce를 동적으로 생성하여 CSP에 적용하는 것은, 캐싱 효율을 저하시킬 뿐만 아니라 정적 배포 환경(예: GitHub Pages 등)에서 올바른 보안 정책 수립을 방해할 수 있는 안티 패턴입니다.
 **Learning:** 정적으로 고정된 인라인 스타일이나 스크립트에는 난수화된 Nonce보다 콘텐츠 자체의 해시(SHA-256 등)를 사용하는 것이 안전하고 일관된 방식임을 배웠습니다.
 **Prevention:** 자동 생성되는 정적 HTML의 콘텐츠 보안 정책(CSP)에는 `style-src 'sha256-<HASH>'` 방식을 적용하고, `<style>` 태그에서 불필요한 `nonce` 속성을 제거하여 브라우저의 무결성 검증 기능을 적극 활용하십시오.
+## 2026-07-15 - [동적 중요 파일 제외 로직 추가]
+**Vulnerability:** `.pem`, `.key`와 같은 자격 증명 파일이나 `.sqlite`, `.db`와 같은 데이터베이스 파일이 `.html4ignore` 또는 기본 민감 파일 목록에서 명시적으로 무시되지 않을 경우 디렉토리 목록 조회 시 노출될 수 있었습니다.
+**Learning:** 정적 목록만 사용하는 것은 동적으로 생성된 파일 이름이나 특정 확장자 유형을 모두 누락할 위험이 있습니다. 이러한 파일이 노출되지 않도록 디렉토리 내의 모든 파일에 대해 동적으로 확장자 단위로 검사해야 합니다.
+**Prevention:** 파일 이름에 대해 동적인 검사(예: `.endsWith` 사용)를 적용하여 민감한 파일 유형의 노출을 정확하게 방지하고, 이를 통해 강력한 심층 방어(defense in depth) 수단으로 활용하십시오.

src/main/kotlin/html4tree/main.kt

@@ -216,12 +216,17 @@ fun process_ignore_file(curr_dir: File, dirFilesNames: Array<String>? = null): S
        files_to_exclude.add("index.html")
 
     // 보안 향상: 민감한 시스템, 설정, 시크릿 파일을 디렉토리 목록에서 기본적으로 제외하여 정보 노출(Information Exposure) 방지
-    val defaultSensitiveFiles = listOf(".git", ".env", ".ssh", ".htpasswd", ".htaccess", "id_rsa", "id_ed25519", "secrets.yml", ".html4ignore", ".DS_Store", ".aws", ".kube", ".npmrc", ".gnupg", "config.json", "credentials.json")
+    val defaultSensitiveFiles = listOf(".git", ".env", ".ssh", ".htpasswd", ".htaccess", "id_rsa", "id_ed25519", "id_ecdsa", "id_dsa", "secrets.yml", "secrets.json", ".html4ignore", ".DS_Store", ".aws", ".kube", ".npmrc", ".gnupg", "config.json", "credentials.json")
     files_to_exclude.addAll(defaultSensitiveFiles)
 
-    // 보안 향상: .env, .git 등 민감한 정보가 포함될 수 있는 숨김 파일(.으로 시작하는 모든 항목)을 기본적으로 노출하지 않도록 제외 (정보 노출 방지)
+    // 보안 향상: 숨김 파일 및 흔히 쓰이는 인증키(.pem, .key), 데이터베이스(.sqlite, .db) 확장자를 동적으로 제외하여 중요 정보 노출 방지
     (dirFilesNames ?: curr_dir.list())?.forEach {
-        if (it.startsWith(".")) {
+        val lowerCaseName = it.toLowerCase()
+        if (it.startsWith(".") ||
+            lowerCaseName.endsWith(".pem") ||
+            lowerCaseName.endsWith(".key") ||
+            lowerCaseName.endsWith(".sqlite") ||
+            lowerCaseName.endsWith(".db")) {
             files_to_exclude.add(it)
         }
     }

src/test/kotlin/html4tree/MainTest.kt

@@ -267,7 +267,7 @@ class MainTest {
     fun testProcessIgnoreFileNoIgnore() {
         val excluded = process_ignore_file(tempDir, null)
         assertTrue(excluded.contains("index.html"))
-        assertEquals(17, excluded.size) // index.html + 16 default sensitive files
+        assertEquals(20, excluded.size) // index.html + 19 default sensitive files
     }
 
     @Test
@@ -277,7 +277,19 @@ class MainTest {
 
         val excluded = process_ignore_file(tempDir, arrayOf("test1.txt", "test3.txt"))
         assertTrue(excluded.contains("index.html"))
-        assertEquals(18, excluded.size) // index.html + 16 default sensitive + test1.txt
+        assertEquals(21, excluded.size) // index.html + 19 default sensitive + test1.txt
+    }
+
+    @Test
+    fun testProcessIgnoreFileDynamicExclusion() {
+        val fileNames = arrayOf("test.pem", "test.KEY", "mydb.sqlite", "app.DB", "safe.txt", ".hidden")
+        val excluded = process_ignore_file(tempDir, fileNames)
+        assertTrue(excluded.contains("test.pem"))
+        assertTrue(excluded.contains("test.KEY"))
+        assertTrue(excluded.contains("mydb.sqlite"))
+        assertTrue(excluded.contains("app.DB"))
+        assertTrue(excluded.contains(".hidden"))
+        assertFalse(excluded.contains("safe.txt"))
     }
 
     @Test