Code Review Specialist 2

주요 취약점은 req.query.file을 검증 없이 경로에 결합하는 점입니다.

const filePath = path.join(__dirname, 'uploads', filename);

공격자가 다음과 같이 요청할 수 있습니다.

/download?file=../../.env
/download?file=../config/secret.key

이 경우 업로드 디렉터리 밖의 민감한 파일이 노출될 수 있습니다. 또한 심볼릭 링크가 업로드 디렉터리에 생성될 수 있다면 링크를 통한 우회도 고려해야 합니다.

권장 방식은 파일명을 직접 받기보다 서버 측 파일 ID를 받아 매핑하는 것입니다.

app.get('/download', async (req, res, next) => {
  try {
    const fileId = String(req.query.id || '');

    const file = await db.files.findById(fileId);
    if (!file || file.ownerId !== req.user.id) {
      return res.sendStatus(404); // 파일 존재 여부도 과도하게 노출하지 않음
    }

    // DB에는 uploads 디렉터리 기준의 안전한 파일명만 저장
    res.download(
      path.join(__dirname, 'uploads', file.storageName),
      file.originalName,
      (err) => {
        if (err && !res.headersSent) next(err);
      }
    );
  } catch (err) {
    next(err);
  }
});

부득이하게 파일명을 직접 받아야 한다면 최소한 root 옵션과 경로 검증을 사용해야 합니다.

app.get('/download', (req, res, next) => {
  const filename = String(req.query.file || '');

  // 디렉터리 구분자와 traversal 패턴 차단
  if (
    !filename ||
    filename !== path.basename(filename) ||
    filename.includes('\0')
  ) {
    return res.sendStatus(400);
  }

  res.sendFile(filename, {
    root: path.join(__dirname, 'uploads'),
    dotfiles: 'deny'
  }, (err) => {
    if (err && !res.headersSent) next(err);
  });
});

추가로 다음을 적용하는 것이 좋습니다.

• 다운로드 전 인증·인가 검사를 수행합니다.
• 원본 파일명을 저장 경로로 사용하지 말고, 랜덤한 서버 파일명을 사용합니다.
• 업로드 디렉터리에 실행 가능한 파일이 저장되거나 서비스되지 않도록 설정합니다.
• 심볼릭 링크 공격을 고려해 실제 경로가 허용 디렉터리 내부인지 확인합니다.
• 대용량 파일 다운로드에는 인증별 rate limit과 감사 로그를 적용합니다.
• sendFile 오류를 처리해 내부 경로가 에러 응답에 노출되지 않도록 합니다.
• Content-Disposition 파일명에 사용자 입력을 넣을 때 CRLF 문자 등을 검증합니다.

현재 코드는 경로 탐색(Path Traversal) 및 인증 우회 가능성이 있으므로 운영 환경에 그대로 사용하면 안 됩니다.