fireauto-secure-guide

name	fireauto-secure-guide
description	"보안 점검", "security check", "security audit", "취약점 분석", "vulnerability scan", "보안 감사", "시크릿 노출", "API 보안", "인증 점검", "rate limit" 등 보안 관련 코드 리뷰나 취약점 감사 시 사용하세요.

보안 감사 방법론

실제 SaaS 프로젝트에서 총 18개 취약점을 발견한 패턴을 기반으로 한 보안 감사 방법론.

감사 8개 카테고리

1. 환경변수/시크릿 노출 — .env 파일, 하드코딩된 키, NEXT_PUBLIC_ 오용
2. 인증/인가 — 미인증 API, admin 클라이언트 남용, RLS 우회
3. Rate Limiting — AI/비용 발생 엔드포인트 보호
4. 파일 업로드 — MIME 검증, 크기 제한, 위험 파일 차단
5. 스토리지 보안 — 퍼블릭 버킷, URL 추측
6. Prompt Injection — 사용자 입력 직접 삽입
7. 정보 노출 — 에러 상세, CSP 헤더
8. 의존성 취약점 — npm audit, CVE

심각도 분류

심각도	기준
CRITICAL	즉시 조치. 데이터 유출, 인증 우회, 시크릿 노출
HIGH	빠른 조치. 서비스 장애, 비용 발생 가능
MEDIUM	계획적 조치. 특정 조건에서 악용 가능
LOW	개선 권장. 보안 강화 목적

핵심 검색 패턴

시크릿 노출

"sk-", "sk_live", "sk_test"           → API 키
"password.*=", "secret.*=", "token.*=" → 하드코딩
"NEXT_PUBLIC_.*SERVICE"                → 서비스 키 클라이언트 노출

인증 누락

API 라우트에서 아래 패턴이 없으면 인증 미적용:
"getSession", "getUser", "auth()", "cookies()"

Rate Limit 누락

AI 호출: "openai", "anthropic", "claude", "gpt"
같은 파일에 "ratelimit"이 없으면 취약

Prompt Injection

content: `...${userInput}...`
→ 시스템 프롬프트와 사용자 메시지가 분리되어야 함

우선순위 산정

우선순위 = 심각도 점수 × 구현 용이성

• 심각도: CRITICAL(4), HIGH(3), MEDIUM(2), LOW(1)
• 구현 용이성: 쉬움(3), 보통(2), 어려움(1)

커맨드

/fireauto-secure 실행으로 전체 보안 감사를 시작한다.

추가 리소스

상세 검색 패턴과 수정 가이드: references/patterns.md