--- sidebar_label: "보안 개요" title: "보안 개요 - CyberGo html | 보안 보호 총람" description: "CyberGo html 보안 개요: 심층 방어 아키텍처로 입력 크기 제한, DOM 깊이 제한, 경로 순회 방지, 패닉 복구, 처리 타임아웃, 콘텐츠 정제, 플러그형 감사 파이프라인과 HighSecurityConfig 보안 프리셋을 다룹니다." sidebar_position: 1 --- # 보안 개요 HTML 라이브러리는 인터넷의 신뢰할 수 없는 입력을 처리하므로, 설계 단계에서 보안을 최우선으로 고려했습니다. 라이브러리는 다층 독립 방어 메커니즘을 내장하여, **심층 방어** 철학을 따릅니다: 각 층은 다른 층이 실패할 수 있다고 가정하며, 단일 층이 우회되어도 전체가 붕괴하지 않습니다. 이 페이지는 보안 기능의 총괄입니다. 감사 파이프라인을 직접 구성하거나 런칭 체크리스트를 확인하고 싶다면, 끝의 [다음 단계](#다음-단계)로 건너뛰세요. ## 심층 방어 아키텍처 라이브러리의 보안 방어는 세 개의 독립적인 계층에 분산되어 있으며, 각 계층은 자체적인 실패 모드와 복구 전략을 가집니다: ```text 입력 계층 방어(필터링 전 거부) ├── MaxInputSize 바이트 수준 크기 상한(기본 50MB) ├── MaxDepth DOM 중첩 깊이 상한(기본 500, 스택 오버플로 방지) ├── ProcessingTimeout 단일 문서 처리 타임아웃(기본 30s) ├── 경로 순회 감지 파일 경로의 .. 컴포넌트 └── AllowedBaseDir 파일 읽기 샌드박스(OS 핸들 해석, symlink/junction 방지) 처리 계층 방어(정제와 취소) ├── HTML 정제 태그 / 속성 / URL / CSS 다차원 필터링 ├── 협력적 context 취소 ExtractWithContext 가 ctx.Done()에 응답 ├── Panic 복구 recoverPanic 제네릭 래퍼, ErrInternalPanic 반환 └── Goroutine 누수 방지 maxTimeoutGoroutines(상한 1000) 감사 계층 방어(관측 + 격리) ├── AuditSink panic 격리 SEC-003(감사 하위 시스템은 best-effort) ├── 8종 감사 이벤트 blocked_tag/blocked_attr/blocked_url/... └── 원본 값 HTML 이스케이프 감사 로그가 SIEM 대시보드에서 XSS 를 trigger 하는 것 방지 ``` :::tip 왜 '독립'을 강조하는가 심층 방어의 가치는 계층 간 결합 가정이 없다는 데 있습니다. 예를 들어 정제 계층이 악의적인 URL 을 놓치더라도(처리 계층 실패), 입력 계층의 `MaxInputSize`가 여전히 초장 payload 를 차단합니다; AuditSink 자체가 panic 하더라도(감사 계층 실패), `recoverPanic`이 주 흐름의 붕괴를 보장하지 않습니다. ::: ## 입력 경계 방어 ### 입력 크기 제한 기본 최대 입력 50MB(`DefaultMaxInputSize`), 메모리 고갈 공격을 방지합니다. 설정 상한은 동시에 `maxConfigInputSize`(마찬가지로 50MB)의 제약을 받으며, 설정으로 안전하지 않은 값으로 증폭할 수 없습니다: ```go cfg := html.DefaultConfig() cfg.MaxInputSize = 10 * 1024 * 1024 // 10MB 로 강화 ``` 파일 경로에는 **사전 검사**가 있습니다: `Stat`으로 크기를 가져온 후, `ReadAll`이 콘텐츠를 메모리에 로드하기 전에 초과 파일을 거부하여, '다 읽은 후 초과 발견'의 메모리 피크 윈도우를 차단합니다. ### DOM 깊이 제한 기본 최대 깊이 500(`DefaultMaxDepth`), 재귀 중첩으로 구성된 스택 오버플로 폭탄을 방지합니다: ```go cfg.MaxDepth = 200 // 더 엄격하게 ``` 깊이 검증은 재귀가 아닌 **반복식** 순회를 사용하므로, 입력 중첩이 너무 깊어져 자체적으로 스택 오버플로가 발생하지 않습니다. ### 처리 타임아웃 구성 가능한 처리 타임아웃으로, 악의적인 HTML 이 지수적 처리 시간을 유발하는 것을 방지합니다: ```go cfg.ProcessingTimeout = 10 * time.Second ``` 타임아웃 메커니즘은 독립 goroutine + context deadline 로 구현되며, `maxTimeoutGoroutines`(1000) 상한의 보호를 받아 고동시성에서 goroutine 이 통제 불능 상태가 되는 것을 방지합니다. `ExtractWithContext`와 결합하여 호출자의 취소 신호를 추가할 수 있습니다. ## 콘텐츠 정제 메커니즘 상세 정제 기능은 `EnableSanitization`(기본 `true`)으로 제어되며, 파싱된 DOM 트리를 in-place 로 수정하여 잠재적으로 악의적인 콘텐츠를 제거합니다. 전체 흐름은 `internal/sanitize.go`로 구현되며, 각 단계의 차단은 감사 로그에 기록됩니다. :::warning 정제를 언제 끄는가 입력이 **완전히 신뢰할 수 있는** 내부 데이터일 때만 `EnableSanitization = false`를 고려하세요. 사용자 업로드, 웹 페이지 크롤링, 서드파티 API 에서 온 HTML 을 처리할 때는 항상 켜두어야 합니다. ::: ### 제거되는 태그 다음 태그는 하위 트리와 함께 전체 제거됩니다: | 태그 | 제거 사유 | |------|----------| | `