mirror of
https://github.com/nad4-su/meeting-minutes.git
synced 2026-08-12 22:33:25 +09:00
nad4andGitHub
f4ad512056
* chore: 공개 저장소 전환 보안 강화 + README 재구성 보안 리뷰 결과를 반영하여 회사 직원 로컬 사용에 안전하도록 강화. README는 사용자가 보기 쉽도록 목차·기능별 anchor·보안 모델로 재구성. ## 보안 변경 (CRITICAL/HIGH 위주) ### 인프라 (docker-compose.yml) - Postgres 호스트 포트 5432 노출 제거 (컨테이너 내부 네트워크만 사용) → LAN의 다른 장치에서 직접 DB 접근 불가 - App 포트 127.0.0.1:3000으로 바인딩 (LAN 노출 차단) - DB 자격증명 fallback `:- meetingpass` 제거 → `:?` 강제 환경변수 → .env 누락 시 명시적 에러로 실패 (기본 비밀번호 사용 위험 제거) ### 응답 헤더 (next.config.ts) - X-Content-Type-Options: nosniff - X-Frame-Options: DENY - Referrer-Policy: strict-origin-when-cross-origin - Permissions-Policy: camera=(), microphone=(self), ... ### 입력 검증 - /api/summarize: transcript 100,000자 상한 (이전 무제한) - DOMPurify: FORBID_TAGS/ATTR ['style'] 추가 → 인라인 CSS 인젝션 차단 ### 런타임 안전성 - src/lib/db.ts: DATABASE_URL 미설정 시 production에서 명시적 경고 (build-time 빌드는 placeholder로 통과 유지) ### 사용자 안내 (UI) - /settings 페이지: 공유 PC 경고 + Web Speech API 외부 송출 안내 ## 문서 ### 신규 - LICENSE (MIT) - SECURITY.md (위협 모델 / 신뢰 모델 / 한계 / 신고 방법) ### README 재구성 - 4-line Quick Start 헤더 - 📑 목차 (anchor 점프) - ✨ 주요 기능 7개 sub-section (각각 사용법/동작/제한) - 🔒 보안 모델 섹션 추가 (공개 배포 권장 사항 명시) - ⚠️ 알려진 제약 표 정리 ### .env.example - 강력한 비밀번호 생성 가이드 (openssl rand -base64 24) - 필수/선택 명확히 구분 ### docs/ROADMAP.md - "보안 강화" 섹션 추가 (완료된 보안 조치 목록) ## 사용자 직접 조치 필요 (코드로 처리 불가) - ⚠️ .env 파일에 발급된 Gemini API 키가 주석 처리되어 남아 있음 Google AI Studio에서 폐기 후 .env에서 해당 줄 삭제 필요 - POSTGRES_PASSWORD를 강력한 임의 값으로 교체 (openssl rand -base64 24) - 비밀번호 변경 시 docker compose down -v 후 재시작 (데이터 초기화) ## 검증 - 102 tests passing - 보안 헤더 4종 적용 확인 (curl -sI) - LAN IP에서 접근 시도 차단 확인 (192.168.x.x:3000 → 000) - 127.0.0.1:3000 정상 동작 확인 (200) ## 보류된 항목 (문서화로 처리) - M-1: Web Speech API의 음성 → Google 송출 (구조적 한계) - M-2: npm audit 6건 (dev 의존성, 자동 수정 가능한 것 없음) - H-3: 파일 업로드 매직 바이트 검증 (업로드 파일 미사용 상태) - 인증 시스템: 단일 사용자 가정으로 비목표 * docs: 직원용 5분 시작 가이드 추가 EMPLOYEE_QUICKSTART.md에 직원 셋업 5분 가이드 작성: - 한 번에 끝나는 setup 명령 (openssl로 강력한 비밀번호 자동 생성) - 추천 사용 흐름 + 기능별 단축 액션 - 사내 정책 확인 안내 (음성 → Google 송출 명시) - 단순 변환 모드(API 키 없음) 옵션 안내 - 자주 쓰는 docker 명령 README에서 직원/팀원 공유 시 가이드로 링크.
22 lines
1.0 KiB
Plaintext
22 lines
1.0 KiB
Plaintext
MIT License
|
|
|
|
Copyright (c) 2026 nad4-su
|
|
|
|
Permission is hereby granted, free of charge, to any person obtaining a copy
|
|
of this software and associated documentation files (the "Software"), to deal
|
|
in the Software without restriction, including without limitation the rights
|
|
to use, copy, modify, merge, publish, distribute, sublicense, and/or sell
|
|
copies of the Software, and to permit persons to whom the Software is
|
|
furnished to do so, subject to the following conditions:
|
|
|
|
The above copyright notice and this permission notice shall be included in all
|
|
copies or substantial portions of the Software.
|
|
|
|
THE SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND, EXPRESS OR
|
|
IMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF MERCHANTABILITY,
|
|
FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT. IN NO EVENT SHALL THE
|
|
AUTHORS OR COPYRIGHT HOLDERS BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHER
|
|
LIABILITY, WHETHER IN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING FROM,
|
|
OUT OF OR IN CONNECTION WITH THE SOFTWARE OR THE USE OR OTHER DEALINGS IN THE
|
|
SOFTWARE.
|