API 보안 모범 사례: 모든 프로젝트에서 실행하는 체크리스트

import jwt from "jsonwebtoken";
import { timingSafeEqual } from "crypto";
 
interface TokenPayload {
  sub: string;
  role: "user" | "admin";
  iss: string;
  aud: string;
  exp: number;
  iat: number;
  jti: string;
}
 
function verifyToken(token: string): TokenPayload {
  try {
    const payload = jwt.verify(token, process.env.JWT_SECRET!, {
      algorithms: ["HS256"], // 절대 "none"을 허용하지 마라
      issuer: "api.yourapp.com",
      audience: "yourapp.com",
      clockTolerance: 30, // 시계 오차를 위한 30초 여유
    }) as TokenPayload;
 
    return payload;
  } catch (error) {
    if (error instanceof jwt.TokenExpiredError) {
      throw new ApiError(401, "Token expired");
    }
    if (error instanceof jwt.JsonWebTokenError) {
      throw new ApiError(401, "Invalid token");
    }
    throw new ApiError(401, "Authentication failed");
  }
}

import { randomBytes } from "crypto";
import { redis } from "./redis";
 
interface RefreshTokenData {
  userId: string;
  family: string; // 로테이션 감지를 위한 토큰 패밀리
  createdAt: number;
}
 
async function rotateRefreshToken(oldRefreshToken: string): Promise<{ accessToken: string; refreshToken: string }> {
  const tokenData = await redis.get(`refresh:${oldRefreshToken}`);
 
  if (!tokenData) {
    // 토큰을 찾을 수 없음 — 만료되었거나 이미 사용됨.
    // 이미 사용된 거라면, 잠재적 리플레이 공격이다.
    // 전체 토큰 패밀리를 무효화한다.
    const parsed = decodeRefreshToken(oldRefreshToken);
    if (parsed?.family) {
      await invalidateTokenFamily(parsed.family);
    }
    throw new ApiError(401, "Invalid refresh token");
  }
 
  const data: RefreshTokenData = JSON.parse(tokenData);
 
  // 이전 토큰을 즉시 삭제 — 일회용
  await redis.del(`refresh:${oldRefreshToken}`);
 
  // 새 토큰 생성
  const newRefreshToken = randomBytes(64).toString("hex");
  const newAccessToken = generateAccessToken(data.userId);
 
  // 같은 패밀리로 새 리프레시 토큰 저장
  await redis.setex(
    `refresh:${newRefreshToken}`,
    60 * 60 * 24 * 30, // 30일
    JSON.stringify({
      userId: data.userId,
      family: data.family,
      createdAt: Date.now(),
    }),
  );
 
  return { accessToken: newAccessToken, refreshToken: newRefreshToken };
}
 
async function invalidateTokenFamily(family: string): Promise<void> {
  // 이 패밀리의 모든 토큰을 스캔하고 삭제한다.
  // 이것은 최후의 수단이다 — 누군가 리프레시 토큰을 리플레이하면,
  // 패밀리의 모든 토큰을 죽여 재인증을 강제한다.
  const keys = await redis.keys(`refresh:*`);
  for (const key of keys) {
    const data = await redis.get(key);
    if (data) {
      const parsed = JSON.parse(data) as RefreshTokenData;
      if (parsed.family === family) {
        await redis.del(key);
      }
    }
  }
}

// 안전한 리프레시 토큰 쿠키 설정
function setRefreshTokenCookie(res: Response, token: string): void {
  res.cookie("refresh_token", token, {
    httpOnly: true, // JavaScript로 접근 불가
    secure: true, // HTTPS만
    sameSite: "strict", // 크로스사이트 요청 불가
    maxAge: 30 * 24 * 60 * 60 * 1000, // 30일
    path: "/api/auth", // 인증 엔드포인트에만 전송
  });
}

import { z } from "zod";
 
const CreateUserSchema = z.object({
  email: z
    .string()
    .email("잘못된 이메일 형식")
    .max(254, "이메일이 너무 깁니다")
    .transform((e) => e.toLowerCase().trim()),
 
  password: z
    .string()
    .min(12, "비밀번호는 최소 12자여야 합니다")
    .max(128, "비밀번호가 너무 깁니다") // bcrypt DoS 방지
    .regex(/^(?=.*[a-z])(?=.*[A-Z])(?=.*\d)/, "비밀번호에는 대문자, 소문자, 숫자가 포함되어야 합니다"),
 
  name: z
    .string()
    .min(1, "이름은 필수입니다")
    .max(100, "이름이 너무 깁니다")
    .regex(/^[\p{L}\p{M}\s'-]+$/u, "이름에 잘못된 문자가 포함되어 있습니다"),
 
  role: z.enum(["user", "editor"]).default("user"),
  // 참고: "admin"은 의도적으로 여기에 없다.
  // 관리자 역할 할당은 별도의 권한 있는 엔드포인트를 통한다.
});
 
type CreateUserInput = z.infer<typeof CreateUserSchema>;
 
// Express 핸들러에서의 사용
app.post("/api/users", async (req, res) => {
  const result = CreateUserSchema.safeParse(req.body);
 
  if (!result.success) {
    return res.status(400).json({
      error: "유효성 검사 실패",
      details: result.error.issues.map((issue) => ({
        field: issue.path.join("."),
        message: issue.message,
      })),
    });
  }
 
  // result.data는 CreateUserInput으로 완전히 타이핑됨
  const user = await createUser(result.data);
  return res.status(201).json({ id: user.id, email: user.email });
});

// 취약 — 문자열 결합
const query = `SELECT * FROM users WHERE email = '${email}'`;
 
// 안전 — 매개변수화된 쿼리
const query = `SELECT * FROM users WHERE email = $1`;
const result = await pool.query(query, [email]);

// 취약 — $queryRaw에서 템플릿 리터럴
const users = await prisma.$queryRaw`
  SELECT * FROM users WHERE name LIKE '%${searchTerm}%'
`;
 
// 안전 — Prisma.sql로 매개변수화
import { Prisma } from "@prisma/client";
 
const users = await prisma.$queryRaw(Prisma.sql`SELECT * FROM users WHERE name LIKE ${`%${searchTerm}%`}`);

// 취약 — req.body.username이 { "$gt": "" }이면
// 컬렉션의 첫 번째 사용자를 반환한다
const user = await db.collection("users").findOne({
  username: req.body.username,
});
 
// 안전 — 명시적으로 문자열로 변환
const user = await db.collection("users").findOne({
  username: String(req.body.username),
});
 
// 더 나은 방법 — 먼저 Zod로 유효성 검사
const LoginSchema = z.object({
  username: z.string().min(1).max(50),
  password: z.string().min(1).max(128),
});

import path from "path";
import { access, constants } from "fs/promises";
 
const ALLOWED_DIR = "/app/uploads";
 
async function resolveUserFilePath(userInput: string): Promise<string> {
  // 정규화하고 절대 경로로 해석
  const resolved = path.resolve(ALLOWED_DIR, userInput);
 
  // 핵심: 해석된 경로가 여전히 허용된 디렉토리 안에 있는지 확인
  if (!resolved.startsWith(ALLOWED_DIR + path.sep)) {
    throw new ApiError(403, "Access denied");
  }
 
  // 파일이 실제로 존재하는지 확인
  await access(resolved, constants.R_OK);
 
  return resolved;
}
 
// 이 검사가 없으면:
// GET /api/files?name=../../../etc/passwd
// /etc/passwd로 해석됨

import { Redis } from "ioredis";
 
interface RateLimitResult {
  allowed: boolean;
  remaining: number;
  resetAt: number;
}
 
async function slidingWindowRateLimit(
  redis: Redis,
  key: string,
  limit: number,
  windowMs: number,
): Promise<RateLimitResult> {
  const now = Date.now();
  const windowStart = now - windowMs;
 
  const multi = redis.multi();
 
  // 윈도우 밖의 항목 제거
  multi.zremrangebyscore(key, 0, windowStart);
 
  // 윈도우 내 항목 수 세기
  multi.zcard(key);
 
  // 현재 요청 추가 (제한 초과 시 제거할 것)
  multi.zadd(key, now.toString(), `${now}:${Math.random()}`);
 
  // 키에 만료 설정
  multi.pexpire(key, windowMs);
 
  const results = await multi.exec();
 
  if (!results) {
    throw new Error("Redis 트랜잭션 실패");
  }
 
  const count = results[1][1] as number;
 
  if (count >= limit) {
    // 제한 초과 — 방금 추가한 항목 제거
    await redis.zremrangebyscore(key, now, now);
 
    return {
      allowed: false,
      remaining: 0,
      resetAt: windowStart + windowMs,
    };
  }
 
  return {
    allowed: true,
    remaining: limit - count - 1,
    resetAt: now + windowMs,
  };
}

interface RateLimitConfig {
  window: number;
  max: number;
}
 
const RATE_LIMITS: Record<string, RateLimitConfig> = {
  // 인증 엔드포인트 — 엄격한 제한, 무차별 대입 타겟
  "POST:/api/auth/login": { window: 15 * 60 * 1000, max: 5 },
  "POST:/api/auth/register": { window: 60 * 60 * 1000, max: 3 },
  "POST:/api/auth/reset-password": { window: 60 * 60 * 1000, max: 3 },
 
  // 데이터 읽기 — 더 관대하게
  "GET:/api/users": { window: 60 * 1000, max: 100 },
  "GET:/api/products": { window: 60 * 1000, max: 200 },
 
  // 데이터 쓰기 — 보통
  "POST:/api/posts": { window: 60 * 1000, max: 10 },
  "PUT:/api/posts": { window: 60 * 1000, max: 30 },
 
  // 전역 폴백
  "*": { window: 60 * 1000, max: 60 },
};
 
function getRateLimitKey(req: Request, config: RateLimitConfig): string {
  const identifier = req.user?.id ?? getClientIp(req);
  const endpoint = `${req.method}:${req.path}`;
  return `ratelimit:${identifier}:${endpoint}`;
}

function setRateLimitHeaders(res: Response, result: RateLimitResult, limit: number): void {
  res.set({
    "X-RateLimit-Limit": limit.toString(),
    "X-RateLimit-Remaining": result.remaining.toString(),
    "X-RateLimit-Reset": Math.ceil(result.resetAt / 1000).toString(),
    "Retry-After": result.allowed ? undefined : Math.ceil((result.resetAt - Date.now()) / 1000).toString(),
  });
 
  if (!result.allowed) {
    res.status(429).json({
      error: "요청이 너무 많습니다",
      retryAfter: Math.ceil((result.resetAt - Date.now()) / 1000),
    });
  }
}

// 위험 — 모든 웹사이트가 API 응답을 읽을 수 있다
app.use(cors({ origin: "*" }));
 
// 역시 위험 — 이것은 단계만 추가된 *와 같다
app.use(
  cors({
    origin: (origin, callback) => {
      callback(null, true); // 모든 것을 허용
    },
  }),
);

import cors from "cors";
 
const ALLOWED_ORIGINS = new Set(["https://yourapp.com", "https://www.yourapp.com", "https://admin.yourapp.com"]);
 
if (process.env.NODE_ENV === "development") {
  ALLOWED_ORIGINS.add("http://localhost:3000");
  ALLOWED_ORIGINS.add("http://localhost:5173");
}
 
app.use(
  cors({
    origin: (origin, callback) => {
      // 오리진이 없는 요청 허용 (모바일 앱, curl, 서버 간)
      if (!origin) {
        return callback(null, true);
      }
 
      if (ALLOWED_ORIGINS.has(origin)) {
        return callback(null, origin);
      }
 
      callback(new Error(`Origin ${origin} not allowed by CORS`));
    },
    credentials: true, // 쿠키 허용
    methods: ["GET", "POST", "PUT", "DELETE", "PATCH"],
    allowedHeaders: ["Content-Type", "Authorization"],
    exposedHeaders: ["X-RateLimit-Limit", "X-RateLimit-Remaining"],
    maxAge: 86400, // 프리플라이트 24시간 캐시
  }),
);

// 수동 프리플라이트 처리 (대부분의 프레임워크가 자동으로 해줌)
app.options("*", (req, res) => {
  res.set({
    "Access-Control-Allow-Origin": getAllowedOrigin(req.headers.origin),
    "Access-Control-Allow-Methods": "GET, POST, PUT, DELETE, PATCH",
    "Access-Control-Allow-Headers": "Content-Type, Authorization",
    "Access-Control-Max-Age": "86400",
  });
  res.status(204).end();
});

import helmet from "helmet";
 
// 한 줄. Express 앱에서 가장 빠른 보안 승리다.
app.use(
  helmet({
    contentSecurityPolicy: {
      directives: {
        defaultSrc: ["'self'"],
        scriptSrc: ["'self'"],
        styleSrc: ["'self'", "'unsafe-inline'"], // 많은 CSS-in-JS 솔루션에 필요
        imgSrc: ["'self'", "data:", "https:"],
        connectSrc: ["'self'", "https://api.yourapp.com"],
        fontSrc: ["'self'"],
        objectSrc: ["'none'"],
        mediaSrc: ["'self'"],
        frameSrc: ["'none'"],
        upgradeInsecureRequests: [],
      },
    },
    hsts: {
      maxAge: 31536000, // 1년
      includeSubDomains: true,
      preload: true,
    },
    referrerPolicy: { policy: "strict-origin-when-cross-origin" },
  }),
);

import { describe, it, expect } from "vitest";
 
describe("보안 헤더", () => {
  it("필수 보안 헤더를 모두 포함해야 한다", async () => {
    const response = await fetch("https://api.yourapp.com/health");
 
    expect(response.headers.get("strict-transport-security")).toBeTruthy();
    expect(response.headers.get("x-content-type-options")).toBe("nosniff");
    expect(response.headers.get("x-frame-options")).toBe("SAMEORIGIN");
    expect(response.headers.get("content-security-policy")).toBeTruthy();
    expect(response.headers.get("referrer-policy")).toBeTruthy();
    expect(response.headers.get("x-powered-by")).toBeNull(); // Helmet이 이것을 제거함
  });
});

# .env.example — 이것을 커밋
DATABASE_URL=postgresql://user:password@localhost:5432/dbname
JWT_SECRET=your-secret-here
REDIS_URL=redis://localhost:6379
SMTP_API_KEY=your-smtp-key
 
# .env — 절대 커밋하지 마라
# .gitignore에 나열됨

import { z } from "zod";
 
const envSchema = z.object({
  DATABASE_URL: z.string().url(),
  JWT_SECRET: z.string().min(32, "JWT 시크릿은 최소 32자여야 합니다"),
  REDIS_URL: z.string().url(),
  NODE_ENV: z.enum(["development", "production", "test"]).default("development"),
  PORT: z.coerce.number().default(3000),
  CORS_ORIGINS: z.string().transform((s) => s.split(",")),
});
 
export type Env = z.infer<typeof envSchema>;
 
function validateEnv(): Env {
  const result = envSchema.safeParse(process.env);
 
  if (!result.success) {
    console.error("잘못된 환경 변수:");
    console.error(result.error.format());
    process.exit(1); // 잘못된 설정으로 시작하지 마라
  }
 
  return result.data;
}
 
export const env = validateEnv();

interface SigningKey {
  id: string;
  secret: string;
  createdAt: Date;
  active: boolean; // 활성 키만 새 토큰에 서명
}
 
async function verifyWithRotation(token: string): Promise<TokenPayload> {
  const keys = await getSigningKeys(); // 모든 유효한 키 반환
 
  for (const key of keys) {
    try {
      return jwt.verify(token, key.secret, {
        algorithms: ["HS256"],
      }) as TokenPayload;
    } catch {
      continue; // 다음 키 시도
    }
  }
 
  throw new ApiError(401, "Invalid token");
}
 
function signToken(payload: Omit<TokenPayload, "iat" | "exp">): string {
  const activeKey = getActiveSigningKey();
  return jwt.sign(payload, activeKey.secret, {
    algorithm: "HS256",
    expiresIn: "15m",
    keyid: activeKey.id, // 헤더에 키 ID 포함
  });
}

// 취약 — 인증된 모든 사용자가 모든 사용자의 데이터에 접근 가능
app.get("/api/users/:id", authenticate, async (req, res) => {
  const user = await db.users.findById(req.params.id);
  return res.json(user);
});
 
// 수정 — 사용자가 자신의 데이터에 접근하는지 확인 (또는 관리자인지)
app.get("/api/users/:id", authenticate, async (req, res) => {
  if (req.user.id !== req.params.id && req.user.role !== "admin") {
    return res.status(403).json({ error: "Access denied" });
  }
  const user = await db.users.findById(req.params.id);
  return res.json(user);
});

const MAX_LOGIN_ATTEMPTS = 5;
const LOCKOUT_DURATION = 15 * 60 * 1000; // 15분
 
async function handleLogin(email: string, password: string): Promise<AuthResult> {
  const lockoutKey = `lockout:${email}`;
  const attempts = await redis.get(lockoutKey);
 
  if (attempts && parseInt(attempts) >= MAX_LOGIN_ATTEMPTS) {
    const ttl = await redis.pttl(lockoutKey);
    throw new ApiError(429, `계정이 잠겼습니다. ${Math.ceil(ttl / 60000)}분 후에 다시 시도하세요.`);
  }
 
  const user = await db.users.findByEmail(email);
 
  if (!user || !(await bcrypt.compare(password, user.passwordHash))) {
    // 실패 시도 증가
    await redis.multi().incr(lockoutKey).pexpire(lockoutKey, LOCKOUT_DURATION).exec();
 
    // 두 경우 모두 같은 에러 메시지 — 이메일 존재 여부를 노출하지 마라
    throw new ApiError(401, "이메일 또는 비밀번호가 잘못되었습니다");
  }
 
  // 성공 시 실패 시도 초기화
  await redis.del(lockoutKey);
 
  return generateTokens(user);
}

// 취약 — 내부 필드를 포함한 전체 사용자 객체를 반환
app.get("/api/users/:id", authenticate, authorize, async (req, res) => {
  const user = await db.users.findById(req.params.id);
  return res.json(user);
  // 응답에 포함: passwordHash, internalNotes, billingId, ...
});
 
// 수정 — 반환할 필드의 명시적 허용 목록
app.get("/api/users/:id", authenticate, authorize, async (req, res) => {
  const user = await db.users.findById(req.params.id);
  return res.json({
    id: user.id,
    name: user.name,
    email: user.email,
    avatar: user.avatar,
    createdAt: user.createdAt,
  });
});

// 취약 — 매스 어사인먼트
app.put("/api/users/:id", authenticate, async (req, res) => {
  await db.users.update(req.params.id, req.body);
  // 공격자가 보냄: { "role": "admin", "verified": true }
});
 
// 수정 — 허용된 필드 선택
const UpdateUserSchema = z.object({
  name: z.string().min(1).max(100).optional(),
  avatar: z.string().url().optional(),
});
 
app.put("/api/users/:id", authenticate, async (req, res) => {
  const data = UpdateUserSchema.parse(req.body);
  await db.users.update(req.params.id, data);
});

// 요청 본문 크기 제한
app.use(express.json({ limit: "1mb" }));
 
// 쿼리 복잡도 제한
const MAX_PAGE_SIZE = 100;
const DEFAULT_PAGE_SIZE = 20;
 
const PaginationSchema = z.object({
  page: z.coerce.number().int().positive().default(1),
  limit: z.coerce.number().int().positive().max(MAX_PAGE_SIZE).default(DEFAULT_PAGE_SIZE),
});
 
// 파일 업로드 크기 제한
const upload = multer({
  limits: {
    fileSize: 5 * 1024 * 1024, // 5MB
    files: 1,
  },
  fileFilter: (req, file, cb) => {
    const allowed = ["image/jpeg", "image/png", "image/webp"];
    if (allowed.includes(file.mimetype)) {
      cb(null, true);
    } else {
      cb(new Error("잘못된 파일 유형"));
    }
  },
});
 
// 장기 실행 요청 타임아웃
app.use((req, res, next) => {
  res.setTimeout(30000, () => {
    res.status(408).json({ error: "요청 타임아웃" });
  });
  next();
});

// 역할 기반 접근을 확인하는 미들웨어
function requireRole(...allowedRoles: string[]) {
  return (req: Request, res: Response, next: NextFunction) => {
    if (!req.user) {
      return res.status(401).json({ error: "인증되지 않음" });
    }
 
    if (!allowedRoles.includes(req.user.role)) {
      // 시도를 로그에 남긴다 — 공격일 수 있다
      logger.warn("무단 접근 시도", {
        userId: req.user.id,
        role: req.user.role,
        requiredRoles: allowedRoles,
        endpoint: `${req.method} ${req.path}`,
        ip: req.ip,
      });
 
      return res.status(403).json({ error: "권한이 부족합니다" });
    }
 
    next();
  };
}
 
// 라우트에 적용
app.delete("/api/users/:id", authenticate, requireRole("admin"), deleteUser);
app.get("/api/admin/stats", authenticate, requireRole("admin"), getStats);
app.post("/api/posts", authenticate, requireRole("admin", "editor"), createPost);

import { URL } from "url";
import dns from "dns/promises";
import { isPrivateIP } from "./network-utils";
 
async function safeFetch(userProvidedUrl: string): Promise<Response> {
  let parsed: URL;
 
  try {
    parsed = new URL(userProvidedUrl);
  } catch {
    throw new ApiError(400, "잘못된 URL");
  }
 
  // HTTP(S)만 허용
  if (!["http:", "https:"].includes(parsed.protocol)) {
    throw new ApiError(400, "HTTP(S) URL만 허용됩니다");
  }
 
  // 호스트명을 해석하고 사설 IP인지 확인
  const addresses = await dns.resolve4(parsed.hostname);
 
  for (const addr of addresses) {
    if (isPrivateIP(addr)) {
      throw new ApiError(400, "내부 주소는 허용되지 않습니다");
    }
  }
 
  // 이제 타임아웃과 크기 제한으로 fetch
  const controller = new AbortController();
  const timeout = setTimeout(() => controller.abort(), 5000);
 
  try {
    const response = await fetch(userProvidedUrl, {
      signal: controller.signal,
      redirect: "error", // 리다이렉트를 따르지 마라 (내부 IP로 리다이렉트될 수 있음)
    });
 
    return response;
  } finally {
    clearTimeout(timeout);
  }
}

// 프로덕션에서 스택 트레이스를 노출하지 마라
app.use((err: Error, req: Request, res: Response, next: NextFunction) => {
  logger.error("처리되지 않은 에러", {
    error: err.message,
    stack: err.stack,
    path: req.path,
    method: req.method,
  });
 
  if (process.env.NODE_ENV === "production") {
    // 일반적인 에러 메시지 — 내부 정보를 노출하지 마라
    res.status(500).json({
      error: "Internal server error",
      requestId: req.id, // 디버깅을 위한 요청 ID 포함
    });
  } else {
    // 개발 환경에서는 전체 에러 표시
    res.status(500).json({
      error: err.message,
      stack: err.stack,
    });
  }
});
 
// 불필요한 HTTP 메서드 비활성화
app.use((req, res, next) => {
  const allowed = ["GET", "POST", "PUT", "DELETE", "PATCH", "OPTIONS"];
  if (!allowed.includes(req.method)) {
    return res.status(405).json({ error: "허용되지 않는 메서드" });
  }
  next();
});

import crypto from "crypto";
 
// Stripe 웹훅 서명 검증
function verifyStripeWebhook(payload: string, signature: string, secret: string): boolean {
  const timestamp = signature
    .split(",")
    .find((s) => s.startsWith("t="))
    ?.slice(2);
  const expectedSig = signature
    .split(",")
    .find((s) => s.startsWith("v1="))
    ?.slice(3);
 
  if (!timestamp || !expectedSig) return false;
 
  // 오래된 타임스탬프 거부 (리플레이 공격 방지)
  const age = Math.abs(Date.now() / 1000 - parseInt(timestamp));
  if (age > 300) return false; // 5분 허용
 
  const signedPayload = `${timestamp}.${payload}`;
  const computedSig = crypto.createHmac("sha256", secret).update(signedPayload).digest("hex");
 
  return crypto.timingSafeEqual(Buffer.from(computedSig), Buffer.from(expectedSig));
}

interface AuditLogEntry {
  timestamp: string;
  action: string; // "user.login", "post.delete", "admin.role_change"
  actor: {
    id: string;
    ip: string;
    userAgent: string;
  };
  target: {
    type: string; // "user", "post", "setting"
    id: string;
  };
  result: "success" | "failure";
  metadata: Record<string, unknown>; // 추가 컨텍스트
  requestId: string; // 애플리케이션 로그와 상관 관계를 위해
}
 
async function auditLog(entry: AuditLogEntry): Promise<void> {
  // 별도의 추가 전용 데이터 저장소에 기록
  // 애플리케이션이 사용하는 것과 같은 데이터베이스여서는 안 된다
  await auditDb.collection("audit_logs").insertOne({
    ...entry,
    timestamp: new Date().toISOString(),
  });
 
  // 중요한 작업의 경우, 변경 불가능한 외부 로그에도 기록
  if (isCriticalAction(entry.action)) {
    await externalLogger.send(entry);
  }
}

function sanitizeForLogging(data: Record<string, unknown>): Record<string, unknown> {
  const sensitiveKeys = new Set([
    "password",
    "passwordHash",
    "token",
    "secret",
    "apiKey",
    "creditCard",
    "ssn",
    "authorization",
  ]);
 
  const sanitized: Record<string, unknown> = {};
 
  for (const [key, value] of Object.entries(data)) {
    if (sensitiveKeys.has(key.toLowerCase())) {
      sanitized[key] = "[REDACTED]";
    } else if (typeof value === "object" && value !== null) {
      sanitized[key] = sanitizeForLogging(value as Record<string, unknown>);
    } else {
      sanitized[key] = value;
    }
  }
 
  return sanitized;
}

import crypto from "crypto";
 
let previousHash = "GENESIS"; // 체인의 초기 해시
 
function createTamperEvidentEntry(entry: AuditLogEntry): AuditLogEntry & { hash: string } {
  const content = JSON.stringify(entry) + previousHash;
  const hash = crypto.createHash("sha256").update(content).digest("hex");
 
  previousHash = hash;
 
  return { ...entry, hash };
}
 
// 체인 무결성 검증:
function verifyLogChain(entries: Array<AuditLogEntry & { hash: string }>): boolean {
  let expectedPreviousHash = "GENESIS";
 
  for (const entry of entries) {
    const { hash, ...rest } = entry;
    const content = JSON.stringify(rest) + expectedPreviousHash;
    const computedHash = crypto.createHash("sha256").update(content).digest("hex");
 
    if (computedHash !== hash) {
      return false; // 체인이 끊어짐 — 로그가 변조되었다
    }
 
    expectedPreviousHash = hash;
  }
 
  return true;
}

# CI에서 실행하고, high/critical 취약점에서 빌드를 실패시켜라
npm audit --audit-level=high
 
# 자동 수정 가능한 것 수정
npm audit fix
 
# 실제로 무엇을 가져오고 있는지 확인
npm ls --all

# .github/dependabot.yml
version: 2
updates:
  - package-ecosystem: "npm"
    directory: "/"
    schedule:
      interval: "weekly"
    open-pull-requests-limit: 10
    reviewers:
      - "your-team"
    labels:
      - "dependencies"
    # 마이너와 패치 업데이트를 그룹화해 PR 노이즈 감소
    groups:
      production-dependencies:
        patterns:
          - "*"
        update-types:
          - "minor"
          - "patch"

# CI에서는 install 대신 ci를 사용 — 락파일을 엄격하게 준수
npm ci

// 이것에 패키지가 필요하지 않다:
const isEven = (n: number): boolean => n % 2 === 0;
 
// 또는 이것에:
const leftPad = (str: string, len: number, char = " "): string => str.padStart(len, char);
 
// 또는 이것에:
const isNil = (value: unknown): value is null | undefined => value === null || value === undefined;