🛡️ Sentinel: [MEDIUM] 로컬 CLI 상대 경로 허용 및 민감 확장자 노출 방지

.jules/sentinel.md

@@ -83,3 +83,7 @@
 **Vulnerability:** 정적 HTML 생성 도구에서 매번 다른 Nonce를 동적으로 생성하여 CSP에 적용하는 것은, 캐싱 효율을 저하시킬 뿐만 아니라 정적 배포 환경(예: GitHub Pages 등)에서 올바른 보안 정책 수립을 방해할 수 있는 안티 패턴입니다.
 **Learning:** 정적으로 고정된 인라인 스타일이나 스크립트에는 난수화된 Nonce보다 콘텐츠 자체의 해시(SHA-256 등)를 사용하는 것이 안전하고 일관된 방식임을 배웠습니다.
 **Prevention:** 자동 생성되는 정적 HTML의 콘텐츠 보안 정책(CSP)에는 `style-src 'sha256-<HASH>'` 방식을 적용하고, `<style>` 태그에서 불필요한 `nonce` 속성을 제거하여 브라우저의 무결성 검증 기능을 적극 활용하십시오.
+## 2026-07-17 - [Local CLI Path Traversal False Positive Prevention]
+**Vulnerability:** A local CLI tool (html4tree) incorrectly blocked relative path traversal using `..` as a security feature.
+**Learning:** Preventing `..` in local CLI tools creates usability bugs, as relative paths are an expected operating system standard. Path traversal logic should distinguish between web inputs and local administrative commands.
+**Prevention:** Do not enforce web-based path traversal protections (like banning `..`) on raw local filesystem paths unless the path escapes an explicitly defined, sandboxed root directory.

src/main/kotlin/html4tree/main.kt

@@ -39,7 +39,6 @@ internal fun read_file_identity(file: File): FileIdentity {
 
 fun go(topDir: String, maxLevel: Int)  {
     require(topDir.isNotBlank())
-    require(!topDir.contains("..")) { "Path traversal sequences are not allowed." }
     // 보안 수정: symlink 검사를 우회하는 canonicalFile 대신 absoluteFile을 사용
     // canonicalFile은 symlink를 대상 경로로 해석하여 이어지는 NOFOLLOW_LINKS 검사를 무력화합니다.
     val top_dir = File(topDir).absoluteFile.toPath().normalize().toFile()
@@ -219,10 +218,19 @@ fun process_ignore_file(curr_dir: File, dirFilesNames: Array<String>? = null): S
     val defaultSensitiveFiles = listOf(".git", ".env", ".ssh", ".htpasswd", ".htaccess", "id_rsa", "id_ed25519", "secrets.yml", ".html4ignore", ".DS_Store", ".aws", ".kube", ".npmrc", ".gnupg", "config.json", "credentials.json")
     files_to_exclude.addAll(defaultSensitiveFiles)
 
-    // 보안 향상: .env, .git 등 민감한 정보가 포함될 수 있는 숨김 파일(.으로 시작하는 모든 항목)을 기본적으로 노출하지 않도록 제외 (정보 노출 방지)
+    val sensitiveExtensions = listOf(".pem", ".key", ".sqlite", ".log", ".bak", ".db", ".sql")
+
+    // 보안 향상: .env, .git 등 민감한 정보가 포함될 수 있는 숨김 파일(.으로 시작하는 모든 항목) 및 민감한 확장자(.pem, .key 등)를 기본적으로 제외 (정보 노출 방지)
     (dirFilesNames ?: curr_dir.list())?.forEach {
         if (it.startsWith(".")) {
             files_to_exclude.add(it)
+        } else {
+            for (ext in sensitiveExtensions) {
+                if (it.endsWith(ext, ignoreCase = true)) {
+                    files_to_exclude.add(it)
+                    break
+                }
+            }
         }
     }
 

src/test/kotlin/html4tree/MainTest.kt

@@ -98,10 +98,17 @@ class MainTest {
     }
 
     @Test
-    fun testGoRejectsRelativePathTraversal() {
-        assertFailsWith<IllegalArgumentException> {
-            go("../../../etc/passwd", -1)
-        }
+    fun testGoAcceptsRelativePathTraversal() {
+        val subdir = File(tempDir, "subdir")
+        subdir.mkdir()
+        val fileInSubdir = File(subdir, "test.txt")
+        fileInSubdir.writeText("test")
+
+        // Use relative path with .. to navigate back and forth
+        val relativePath = "${subdir.absolutePath}/../${subdir.name}"
+        go(relativePath, -1)
+
+        assertTrue(File(subdir, "index.html").exists())
     }
 
     @Test
@@ -514,6 +521,32 @@ class MainTest {
         assertTrue(excluded.contains("index.html"))
     }
 
+    @Test
+    fun testProcessIgnoreFileSensitiveExtensions() {
+        File(tempDir, "private.key").createNewFile()
+        File(tempDir, "cert.pem").createNewFile()
+        File(tempDir, "database.sqlite").createNewFile()
+        File(tempDir, "app.log").createNewFile()
+        File(tempDir, "backup.bak").createNewFile()
+        File(tempDir, "data.db").createNewFile()
+        File(tempDir, "dump.sql").createNewFile()
+        File(tempDir, "safe.txt").createNewFile()
+        File(tempDir, "public.html").createNewFile()
+
+        val excluded = process_ignore_file(tempDir)
+
+        assertTrue(excluded.contains("private.key"))
+        assertTrue(excluded.contains("cert.pem"))
+        assertTrue(excluded.contains("database.sqlite"))
+        assertTrue(excluded.contains("app.log"))
+        assertTrue(excluded.contains("backup.bak"))
+        assertTrue(excluded.contains("data.db"))
+        assertTrue(excluded.contains("dump.sql"))
+
+        assertFalse(excluded.contains("safe.txt"))
+        assertFalse(excluded.contains("public.html"))
+    }
+
     @Test
     fun testProcessDirItEqualsCurrDir() {
         File(tempDir, "tempDir").mkdir()