DongHyeonkaandClaude Fable 5.1
b25357c48a
- analysis/·source-index·state.json 을 final/document.md 제2부·제3부로 접었다. SSOT 는 하나다 - 파일럿 — commit-ambiguity-as-a-result 를 새 기준으로 재선별. 후보 14 → 글감 5 (PROMOTE 5 · MERGE_INTO 3 · KEEP_IN_SSOT 4 · 보류 2). 기록 5건을 다시 썼고 그림 1개를 techviz 로 만들었다 - 재선별이 잡은 것: 제1부 §6.2·§11.1 이 자기 §13.2 와 어긋나 있었다(레인을 안 돌렸다 vs 돌렸다) — 정정. 이미 답이 나와 있던 Question 을 HEAD 재실행 질문으로 다시 세웠다. Concept 이 인용한 코드가 SSOT 에 없어 뺐다 - candidateScope·sourceRepository 기록. 나머지 43개 주제는 재선별 대기(PENDING 905) Co-Authored-By: Claude Fable 5.1 <noreply@anthropic.com>
2.0 KiB
2.0 KiB
kind, slug, title, topic, project, status, sourceRevision, rootTreeNode, evidenceCapturedOn, assets, evidence, source, module
| kind | slug | title | topic | project | status | sourceRevision | rootTreeNode | evidenceCapturedOn | assets | evidence | source | module | |||||||
|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|
| CONCEPT | adapter-outbound-notification-c05 | SSRF 가드의 호출처 둘과 javadoc이 지목하는 둘이 다르다 | identity-and-value-contracts | clean-architecture-backend-template | 게시 전 | 21234e38cdb9a926cbc92bb97a2aee2e4a7d2916 | concept:adapter-outbound-notification-c05 | 2026-09-01 |
|
|
|
adapter-outbound-notification |
SSRF 가드의 호출처 둘과 javadoc이 지목하는 둘이 다르다
NotificationEndpoints.requireExternallyRoutable의 프로덕션 호출처는 SES endpoint와 webhook target 둘이다. 가드 자신의 javadoc이 위험 대상으로 지목하는 것은 Web Push endpoint와 webhook target이고, Web Push는 호출처 목록에 없다.
본문
NotificationEndpoints.requireExternallyRoutable의 프로덕션 호출처는 둘뿐이다.
.../ses/SesProviderProperties.java:27: NotificationEndpoints.requireExternallyRoutable(endpoint, "SES endpoint", true);
.../webhook/WebhookSubscription.java:49: NotificationEndpoints.requireExternallyRoutable(target, "webhook target", trusted);
javadoc이 위험 대상으로 지목하는 둘
"Web Push endpoints and webhook targets are supplied by clients, which makes this a server-side request forgery primitive."
Web Push는 호출처 목록에 없다. §25.1.
NotificationEndpoints 참조 위치
:::evidence key="adapter-outbound-notification-c05" alt="코드베이스에서 NotificationEndpoints 를 검색한 출력 17줄. 이 기록이 세는 참조가 그 출력에 그대로 보인다." caption="NotificationEndpoints 코드베이스 검색 — 17줄 · exit 0" zoom="true" :::