docs: record the staged fix and post-fix evidence

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

docs/evidence/two-hop-proxy-headers/04-after-fix.txt

@@ -0,0 +1,55 @@
+수집 시각: 2026-09-03 15:32:04 KST
+단계: A(nginx) + B(Traefik) + C(앱) 모두 적용 후
+
+=== [1] nginx 가 보내는 값 ===
+28:		proxy_set_header X-Forwarded-Proto	https;
+29:		proxy_set_header X-Forwarded-Port	443;
+30:		proxy_set_header X-Forwarded-For	$remote_addr;
+31:		proxy_set_header X-Real-IP		$remote_addr;
+
+=== [2] Traefik entryPoint 인자 ===
+"--entryPoints.web.forwardedHeaders.trustedIPs=10.42.0.0/16
+"--entryPoints.websecure.forwardedHeaders.trustedIPs=10.42.0.0/16
+
+=== [3] 앱 스위치 ===
+SERVER_FORWARD_HEADERS_STRATEGY=native
+
+=== [4] 최종 측정 ===
+  x-forwarded-proto    https
+  x-forwarded-port     443
+  x-forwarded-host     app1.hyeonworks.com
+  x-real-ip            100.123.124.30
+  x-forwarded-server   traefik-697889c85-g7xpp
+  --- 앱이 해석한 값        
+  scheme               https
+  secure               True
+  serverName           app1.hyeonworks.com
+  serverPort           443
+  remoteAddr           100.123.124.30
+  localAddr            10.42.0.10
+  requestUrl           https://app1.hyeonworks.com/api/echo
+
+=== [5] 위조 테스트 — 클라이언트가 http/evil/1.2.3.4 를 주입 ===
+  x-forwarded-proto    https
+  x-forwarded-port     443
+  x-forwarded-host     app1.hyeonworks.com
+  x-real-ip            100.123.124.30
+  x-forwarded-server   traefik-697889c85-g7xpp
+  --- 앱이 해석한 값        
+  scheme               https
+  secure               True
+  serverName           app1.hyeonworks.com
+  serverPort           443
+  remoteAddr           100.123.124.30
+  localAddr            10.42.1.6
+  requestUrl           https://app1.hyeonworks.com/api/echo
+
+  ★ 주입값이 하나도 반영되지 않았다. nginx 의 $remote_addr 덮어쓰기가 방어한다.
+
+=== [6] 파드 분배 6회 ===
+  pod 10.42.0.10 | remoteAddr 100.123.124.30 | scheme https
+  pod 10.42.1.6 | remoteAddr 100.123.124.30 | scheme https
+  pod 10.42.0.10 | remoteAddr 100.123.124.30 | scheme https
+  pod 10.42.1.6 | remoteAddr 100.123.124.30 | scheme https
+  pod 10.42.0.10 | remoteAddr 100.123.124.30 | scheme https
+  pod 10.42.1.6 | remoteAddr 100.123.124.30 | scheme https

docs/evidence/two-hop-proxy-headers/README.md

@@ -118,3 +118,49 @@ curl -s http://192.168.122.11/api/echo \
   -H 'X-Forwarded-Proto: https' -H 'X-Forwarded-Port: 443' \
   -H 'X-Forwarded-For: 203.0.113.7' | python3 -m json.tool
 ```
+
+---
+
+## 수정 후 (2026-09-03 15:32 KST)
+
+세 스위치를 순서대로 켜며 각 단계를 측정했다. 상세 절차는
+`docs/two-hop-proxy-header-contract.md` 9~11절.
+
+| 파일 | 단계 |
+|---|---|
+| `stage-a-nginx-fixed.png` | A — nginx 만 고침 |
+| `stage-b-traefik-trusts.png` | B — Traefik `trustedIPs` 추가 |
+| `stage-c-resolved.png` | C — 앱 `strategy=native` |
+| `04-after-fix.txt` | 최종 측정 · 위조 테스트 · 분배 |
+
+스크린샷은 브라우저가 `/api/echo` 응답을 렌더링한 **실제 화면**이다.
+
+### 단계별 결과
+
+| 항목 | 최초 | A | B | C |
+|---|---|---|---|---|
+| `x-forwarded-proto` | `http` | **`http`** | `https` | `https` |
+| `x-real-ip` | `10.42.1.0` | `10.42.1.0` | `100.123.124.30` | `100.123.124.30` |
+| `scheme` (앱 해석) | `http` | `http` | **`http`** | **`https`** |
+| `requestUrl` | `http://…` | `http://…` | `http://…` | **`https://…`** |
+
+**A 이후 아무 변화가 없는 것**이 Traefik 덮어쓰기의 증거이고,
+**B 이후 헤더는 살아났으나 앱 해석은 그대로인 것**이 2번과 3번 스위치가
+다른 일을 한다는 증거다.
+
+### 위조 차단 재확인
+
+`04-after-fix.txt` [5]. 클라이언트가 `X-Forwarded-Proto: http`,
+`X-Forwarded-Host: evil.example.com`, `X-Forwarded-For: 1.2.3.4`를 주입했으나
+**하나도 반영되지 않았다.**
+
+**방어 주체가 바뀌었다.** 수정 전에는 Traefik이 전부 덮어써서 막았고,
+수정 후에는 nginx의 `$remote_addr`가 막는다. 그래서 nginx에서
+`$proxy_add_x_forwarded_for`(덧붙이기)로 바꾸면 안 된다.
+
+### 겪은 함정
+
+`kubectl rollout status`가 완료를 알려도 **helm-controller의 Job이 차트를
+업그레이드하는 동안 구 Traefik 파드가 함께 살아 있다.** 이 시점에 측정하면
+옛 파드가 응답해 "고쳤는데 안 바뀌었다"고 오해하게 된다. `x-forwarded-server`
+값의 파드 이름으로 어느 파드가 응답했는지 확인해야 한다.