🛡️ Sentinel: [HIGH] HTML 렌더링 시 XSS(크로스 사이트 스크립팅) 취약점 방지

[seonghobae]

🚨 Severity: HIGH
💡 Vulnerability: 애플리케이션에서 디렉토리 및 파일 이름을 읽어 index.html 파일을 생성할 때, 이름에 악의적인 HTML 및 스크립트 코드(예: <script>alert(1)</script>)가 포함되어 있으면 그대로 렌더링되어 XSS 공격에 노출될 수 있었습니다.
🎯 Impact: 생성된 index.html을 열람하는 사용자의 브라우저에서 임의의 악성 스크립트가 실행될 수 있습니다.
🔧 Fix: String.escapeHtml() 확장 함수를 도입하여 파일 및 디렉토리 이름의 <, >, &, ", ' 문자들을 안전한 HTML 엔티티로 변환하였습니다. 추가로 href 속성값을 명시적으로 따옴표로 감싸서 속성 탈출 공격도 방어했습니다. build.gradle에 JaCoCo 플러그인을 설정하여 100% 단위 테스트 커버리지를 구현했습니다.
✅ Verification: ./gradlew test jacocoTestReport 실행 후 build/reports/jacoco/test/html/index.html 파일을 통해 테스트가 통과하고 100% 커버리지를 달성했음을 확인했습니다.

---

PR created automatically by Jules for task 5890943741233817557 started by @seonghobae

[google-labs-jules]

👋 Jules, reporting for duty! I'm here to lend a hand with this pull request.

When you start a review, I'll add a 👀 emoji to each comment to let you know I've read it. I'll focus on feedback directed at me and will do my best to stay out of conversations between you and other bots or reviewers to keep the noise down.

I'll push a commit with your requested changes shortly after. Please note there might be a delay between these steps, but rest assured I'm on the job!

For more direct control, you can switch me to Reactive Mode. When this mode is on, I will only act on comments where you specifically mention me with @jules. You can find this option in the Pull Request section of your global Jules UI settings. You can always switch back!

New to Jules? Learn more at jules.google/docs.

---

For security, I will only act on instructions from the user who triggered this task.

[seonghobae]

Closing as superseded by already-merged XSS hardening (#21 and #45). Current master escapes HTML including backticks, quotes attributes, percent-encodes href path segments, and adds CSP defense-in-depth; this stale branch uses a narrower escaping approach and would drop newer security/accessibility/performance behavior.

[google-labs-jules]

Closing as superseded by already-merged XSS hardening (#21 and #45). Current master escapes HTML including backticks, quotes attributes, percent-encodes href path segments, and adds CSP defense-in-depth; this stale branch uses a narrower escaping approach and would drop newer security/accessibility/performance behavior.

알겠습니다. 이 작업이 이미 병합된 변경 사항에 의해 대체되었으며 더 이상 유효하지 않음을 확인했습니다. 이 작업에 대한 추가 수정을 중단하겠습니다.