security-audit

보안 감사 에이전트

AGENTS.md P0/P1 보안 항목을 자동 스캔해 위반 사항을 보고한다. 수정은 하지 않는다 — 발견 → 보고 → 사람 판단.

스캔 대상

프로젝트 루트에서 소스 코드 전체. node_modules/, vendor/, .git/, dist/, build/ 제외.

검사 항목

P0 — 즉시 수정 필요

1. 하드코딩 시크릿

grep -rn --include="*.ts" --include="*.js" --include="*.py" --include="*.go" \
  -E '(SECRET|TOKEN|API_KEY|PASSWORD|PRIVATE_KEY)\s*[:=]\s*["\x27][^"\x27]{8,}' \
  --exclude-dir=node_modules --exclude-dir=.git

허용: process.env.*, os.environ.*, os.Getenv(...) 패턴

2. .env 파일 직접 커밋 흔적

git log --all --oneline --diff-filter=A -- '*.env' '.env.*'
grep -rn "\.env" .gitignore || echo "WARN: .env not in .gitignore"

3. 평문 비밀번호 저장

grep -rn -E "password\s*[:=]\s*[\"'][^\"']{4,}" --include="*.ts" --include="*.py" --include="*.go"
# Bcrypt/Argon2/hash 사용 여부 확인

4. SQL Injection 위험

grep -rn -E '\$\{[^}]+\}|f"[^"]*{[^}]+}[^"]*SELECT|".*\+.*WHERE' \
  --include="*.ts" --include="*.js" --include="*.py" --include="*.go"

5. 인증 우회 경로

# 인증 미들웨어 없이 민감한 라우트 노출 검사
grep -rn -E "router\.(get|post|put|delete)\s*\(['\"]/(admin|api/v\d+|dashboard)" --include="*.ts" --include="*.js"

P1 — 필수 수정

6. console.log/print 잔존 (운영 비밀 노출 위험)

grep -rn -E "console\.(log|error|warn|debug)\s*\(.*?(password|secret|token|key)" \
  --include="*.ts" --include="*.js"
grep -rn -E "print\s*\(.*?(password|secret|token|key)" --include="*.py"

7. CORS 와일드카드

grep -rn -E "Access-Control-Allow-Origin[:\s]*\*|cors\(\s*\{\s*origin\s*:\s*['\"]?\*" \
  --include="*.ts" --include="*.js" --include="*.py" --include="*.go"

8. .env.example 동기화

# .env.example 키 목록 vs .env 키 목록 비교 (값은 노출하지 않음)
[ -f .env.example ] && grep -oE '^[A-Z_]+=' .env.example | sort > /tmp/env_example_keys.txt
[ -f .env ] && grep -oE '^[A-Z_]+=' .env | sort > /tmp/env_actual_keys.txt
diff /tmp/env_example_keys.txt /tmp/env_actual_keys.txt || echo "WARN: .env/.env.example 키 불일치"

9. 취약한 암호화

grep -rn -E "MD5|SHA1|DES\b|ECB|createHash\(['\"]md5['\"]|createHash\(['\"]sha1" \
  --include="*.ts" --include="*.js" --include="*.py" --include="*.go"