From b151ca9ae6ca40ebd930d0085538370c7cd97551 Mon Sep 17 00:00:00 2001
From: seonghobae <8172694+seonghobae@users.noreply.github.com>
Date: Mon, 20 Jul 2026 21:11:51 +0000
Subject: [PATCH] =?UTF-8?q?=EB=B3=B4=EC=95=88=20=ED=96=A5=EC=83=81:=20?=
 =?UTF-8?q?=ED=8C=8C=EC=9D=BC=20=EA=B5=90=EC=B2=B4=20=EC=8B=9C=20=EC=9B=90?=
 =?UTF-8?q?=EC=9E=90=EC=A0=81=20=EC=9D=B4=EB=8F=99(Atomic=20Move)=EC=9D=84?=
 =?UTF-8?q?=20=EC=82=AC=EC=9A=A9=ED=95=98=EC=97=AC=20Race=20Condition=20?=
 =?UTF-8?q?=EB=B0=A9=EC=A7=80?=
MIME-Version: 1.0
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit

- write_index_file 함수에서 Files.move 시 StandardCopyOption.ATOMIC_MOVE 옵션을 사용하도록 수정
- AtomicMoveNotSupportedException 발생 시 기존 REPLACE_EXISTING으로 폴백 처리
- 100% 테스트 커버리지를 위한 fallback 테스트 코드 추가
- .jules/sentinel.md 에 학습 내용 기록
---
 .jules/sentinel.md                    |  5 +++++
 src/main/kotlin/html4tree/main.kt     | 16 ++++++++++++++--
 src/test/kotlin/html4tree/MainTest.kt | 17 +++++++++++++++++
 3 files changed, 36 insertions(+), 2 deletions(-)

diff --git a/.jules/sentinel.md b/.jules/sentinel.md
index 6ecf72f..34a828e 100644
--- a/.jules/sentinel.md
+++ b/.jules/sentinel.md
@@ -83,3 +83,8 @@
 **Vulnerability:** 정적 HTML 생성 도구에서 매번 다른 Nonce를 동적으로 생성하여 CSP에 적용하는 것은, 캐싱 효율을 저하시킬 뿐만 아니라 정적 배포 환경(예: GitHub Pages 등)에서 올바른 보안 정책 수립을 방해할 수 있는 안티 패턴입니다.
 **Learning:** 정적으로 고정된 인라인 스타일이나 스크립트에는 난수화된 Nonce보다 콘텐츠 자체의 해시(SHA-256 등)를 사용하는 것이 안전하고 일관된 방식임을 배웠습니다.
 **Prevention:** 자동 생성되는 정적 HTML의 콘텐츠 보안 정책(CSP)에는 `style-src 'sha256-<HASH>'` 방식을 적용하고, `<style>` 태그에서 불필요한 `nonce` 속성을 제거하여 브라우저의 무결성 검증 기능을 적극 활용하십시오.
+
+## 2024-07-20 - [html4tree] 원자적 이동(Atomic Move)을 통한 Race Condition 방지
+**Vulnerability:** 파일 저장 시 쓰기 작업이 진행 중이거나 임시 파일에서 최종 파일로 교체되는 동안 다른 프로세스가 파일을 읽으면 불완전한 내용을 읽게 될 위험(Race Condition)이 존재함.
+**Learning:** `Files.move`는 원자성을 보장하지 않을 수 있으며, 이는 `REPLACE_EXISTING` 플래그만 사용할 경우 파일 시스템에 따라 부분적으로만 작성된 파일이 노출될 수 있음을 배움.
+**Prevention:** `Files.move`에 `StandardCopyOption.ATOMIC_MOVE` 옵션을 우선적으로 적용하고, 파일 시스템에서 지원하지 않는 경우 예외(`AtomicMoveNotSupportedException`)를 잡아 `REPLACE_EXISTING`으로 폴백(fallback)하여 데이터를 보다 안전하게 저장함.
diff --git a/src/main/kotlin/html4tree/main.kt b/src/main/kotlin/html4tree/main.kt
index b455862..8998890 100644
--- a/src/main/kotlin/html4tree/main.kt
+++ b/src/main/kotlin/html4tree/main.kt
@@ -229,12 +229,24 @@ fun process_ignore_file(curr_dir: File, dirFilesNames: Array<String>? = null): S
     return files_to_exclude
 }
 
-fun write_index_file(curr_dir: File, content: String) {
+// 보안 향상: 임시 파일에서 최종 파일로 교체할 때 원자적 이동(Atomic Move)을 우선 사용하여,
+// 다른 프로세스가 불완전한 상태의 index.html을 읽는 것(Race Condition)을 방지합니다. (Atomicity)
+fun write_index_file(
+    curr_dir: File,
+    content: String,
+    moveOp: (java.nio.file.Path, java.nio.file.Path) -> Unit = { src, dst ->
+        Files.move(src, dst, StandardCopyOption.ATOMIC_MOVE, StandardCopyOption.REPLACE_EXISTING)
+    }
+) {
     val indexPath = curr_dir.toPath().resolve("index.html")
     val tempPath = Files.createTempFile(curr_dir.toPath(), ".index-", ".html")
     try {
         Files.write(tempPath, content.toByteArray(Charsets.UTF_8))
-        Files.move(tempPath, indexPath, StandardCopyOption.REPLACE_EXISTING)
+        try {
+            moveOp(tempPath, indexPath)
+        } catch (e: java.nio.file.AtomicMoveNotSupportedException) {
+            Files.move(tempPath, indexPath, StandardCopyOption.REPLACE_EXISTING)
+        }
     } finally {
         Files.deleteIfExists(tempPath)
     }
diff --git a/src/test/kotlin/html4tree/MainTest.kt b/src/test/kotlin/html4tree/MainTest.kt
index 1349471..cbe6abf 100644
--- a/src/test/kotlin/html4tree/MainTest.kt
+++ b/src/test/kotlin/html4tree/MainTest.kt
@@ -345,6 +345,23 @@ class MainTest {
         assertTrue(htmlContent.contains("margin: 0 auto;"))
     }
 
+    @Test
+    fun testWriteIndexFileAtomicMoveFallback() {
+        val tempDir = Files.createTempDirectory("test-atomic").toFile()
+        try {
+            var moveOpCalled = false
+            write_index_file(tempDir, "content") { src, dst ->
+                moveOpCalled = true
+                throw java.nio.file.AtomicMoveNotSupportedException(src.toString(), dst.toString(), "Test Fallback")
+            }
+            assertTrue(moveOpCalled, "moveOp should be called")
+            assertTrue(File(tempDir, "index.html").exists(), "index.html should still be created via fallback")
+            assertEquals("content", File(tempDir, "index.html").readText())
+        } finally {
+            tempDir.deleteRecursively()
+        }
+    }
+
     @Test
     fun testWriteIndexFileCleansUpTempFileOnFailure() {
         // Files.move cannot replace a non-empty directory, so this drives the