feat(security): P1 보안 강화 — WebSocket CORS, 파일 업로드 검증, Rate Limiting

[alpin87]

개요

KISA AI 보안 가이드라인 / OWASP Top 10 기준 Priority 1 보안 취약점 중 3건을 조치합니다. (AI 텍스트 필터링 P1-2/P1-5는 별도 AI 서비스 영역이라 제외)

• P1-4 WebSocket CORS 제한
• P1-1 파일 업로드 보안 (CRITICAL)
• P1-3 Rate Limiting

변경 내용

🔒 P1-4 — WebSocket CORS (fix(security))

• STOMP 엔드포인트(/ws/chat, /ws/blinddate)의 setAllowedOriginPatterns("*") → authentication.origins 화이트리스트 재사용
• CSWSH(교차 출처 WebSocket 하이재킹) 방지, REST/WebSocket CORS 정책 일원화

🔥 P1-1 — 파일 업로드 보안 (feat(security))

• 매직바이트 기반 실제 이미지 타입 판별(JPEG/PNG/GIF/WEBP) — 클라이언트 확장자/Content-Type 불신
  • FileValidator, ImageSignatureDetector, ImageContentType
• 저장 파일명·Content-Type을 판별 결과로 결정 → 확장자 위장(.png로 위장한 HTML/SVG)·stored XSS 차단
• 빈 파일/크기 상한(10MB) 검증, getOriginalFilename() NPE 및 dead code 제거
• multipart 한도 max-file-size: 10MB / max-request-size: 35MB (기본 1MB가 검증을 무력화하던 문제 해결)
• MaxUploadSizeExceededException → 413 매핑

🚦 P1-3 — Rate Limiting (feat(security))

• IP 기준 제한: 로그인/소셜 5회/분, 이메일 발송 5회/분, 검색 30회/분
• Redis Lua 스크립트로 INCR+PEXPIRE 원자 처리(고정 시간창) → TTL 유실 영구 키 방지
• RateLimitFilter를 JwtFilter 앞에 등록 + FilterRegistrationBean.setEnabled(false)로 서블릿 자동 등록 차단(이중 카운트 방지)
• List<RateLimitRule> 주입 함정을 RateLimitRules 홀더로 회피
• raw XFF 파싱 제거 → prod forward-headers-strategy: framework 위임(IP 스푸핑 방지), Redis 장애 시 fail-open

검증

• ✅ ./gradlew compileJava 통과
• ✅ 독립 코드 리뷰 1회 + 지적된 HIGH 5건(멀티파트 1MB 무력화, XFF 스푸핑, INCR/EXPIRE 비원자, WEBP 청크 미검증, 필터 이중등록) 반영

⚠️ 머지 전 확인 필요

• WebSocket 네이티브(앱) 클라이언트 Origin — "*" → 화이트리스트로 좁혔습니다. Origin 헤더를 보내지 않는 네이티브 클라는 통과되어 보통 안전하나, 앱이 WebSocket에 Origin을 실어 보낼 경우 핸드셰이크가 막힐 수 있어 /ws/chat·/ws/blinddate 실제 앱 스테이징 연결 테스트 필요
• 운영 LB가 인바운드 X-Forwarded-For를 덮어쓰는지(스푸핑 방지 전제) 확인
• (선택) 단위 테스트 추가: ImageSignatureDetector, FileValidator, RateLimitFilter

🤖 Generated with Claude Code

[coderabbitai]

Important

Review skipped

Draft detected.

Please check the settings in the CodeRabbit UI or the .coderabbit.yaml file in this repository. To trigger a single review, invoke the @coderabbitai review command.

⚙️ Run configuration

Configuration used: Organization UI

Review profile: CHILL

Plan: Pro

Run ID: 36ba78a6-6aca-4422-9f23-f5a072243f4b

You can disable this status message by setting the reviews.review_status to false in the CodeRabbit configuration file.

Use the checkbox below for a quick retry:

• 🔍 Trigger review

✨ Finishing Touches

🧪 Generate unit tests (beta)

• Create PR with unit tests
• Commit unit tests in branch feat/p1-security-hardening

---

Thanks for using CodeRabbit! It's free for OSS, and your support helps us grow. If you like it, consider giving us a shout-out.

❤️ Share

• X
• Mastodon
• Reddit
• LinkedIn

_{Comment @coderabbitai help to get the list of available commands and usage tips.}