22 lines
2.1 KiB
Markdown
22 lines
2.1 KiB
Markdown
# sori.studio 할 일
|
|
|
|
## 보안 의존성 갱신
|
|
|
|
- v1.12.31 lockfile의 `npm audit` 영향 패키지 33개(critical 5·high 23·moderate 5) 보안 갱신. Nuxt·Vue SSR·Sharp·sanitize-html 및 간접 의존성 devalue·개발 도구, 고정한 brace-expansion 버전을 함께 검토. 개발 전용·운영 포함 여부와 권고별 악용 조건을 구분하고, 지원되는 패치 버전으로 갱신 후 `npm run verify:ci` 및 운영 이미지 빌드 검증. 강제 major 갱신으로 처리하지 않음. 점검 근거는 `docs/code-audit.md` 참조.
|
|
|
|
## 유지보수
|
|
|
|
- 큰 `analytics-repository.js`, `content-repository.js`, 관리자 네비게이션·설정 파일은 해당 기능 수정 때 조회·편집 책임별 점진적 분리 검토. 일괄 재구성하지 않고 API·화면 계약 유지.
|
|
|
|
## 프론트엔드 개발
|
|
|
|
- CSP Report-Only 운영 보고 관찰 후 강제 정책 추가 강화 검토.
|
|
- 현재 `compat-v1`은 HTTPS 출처를 폭넓게 허용하므로 단순 관찰 연장만으로 HTTPS 도메인별 허용 목록을 만들 수 없음. 광고·사이트 코드·외부 미디어 정상 출처를 조사한 뒤 별도 버전의 더 좁은 Report-Only 정책을 설계.
|
|
- 제공 화면의 `frame-src empty/unknown`은 출처 정보 부족으로 원인 미확정. 해당 게시물에서 확장 프로그램을 끈 브라우저로 재현하고 iframe·광고 동작과 보고를 대조한 뒤 오탐 여부 판단.
|
|
- `recentViolations`는 최근에 관찰된 행의 전체 누적 합계임. 실제 30일 추이가 필요하면 일별 집계·보관 기간·새 관찰 시작점을 설계하며 기존 누적값을 기간별 수치로 변환하지 않음.
|
|
- 정상 출처와 반복 오탐 확인 후 script/style/img/frame/connect 지시어의 단계별 강제 전환 검토.
|
|
|
|
## 배포
|
|
|
|
- UGREEN Docker 앱에서 로컬 이미지 전용 `docker-compose.yaml` 재배포 실기 확인. 이미지 업데이트/다운로드 옵션 유무를 확인하고, 원격 pull 오류가 재발하는지·실행 컨테이너 이미지 ID가 사전 빌드 이미지 ID와 같은지 대조. GUI의 정책 덮어쓰기와 별도 Compose 사본 적용 여부는 현재 미확인.
|