🛡️ Sentinel: [보안 개선] index.html의 기본 CSP 강도 상향

[seonghobae]

🚨 Severity: ENHANCEMENT

💡 Vulnerability:

기존 index.html의 CSP는 default-src 'self'를 사용하고 있어, 의도치 않게 같은 출처(Origin)의 다른 리소스(예: iframe, object 등)가 로드될 가능성을 열어두어 공격 표면(Attack Surface)이 불필요하게 넓었습니다.

🎯 Impact:

만약 정적 파일 제공에 취약점이 발생하거나 예상치 못한 파일이 업로드되었을 경우, default-src 'self'는 이러한 리소스들이 로드되도록 허용하여 잠재적인 공격 벡터(UI Redressing, Base Tag Injection 등)로 악용될 수 있습니다.

🔧 Fix:

CSP를 엄격한 화이트리스트 방식인 default-src 'none'으로 변경하고, 동작에 반드시 필요한 리소스(script-src 'self', style-src 'self', img-src 'self', font-src 'self', connect-src 'self')만 명시적으로 허용했습니다. 또한 base-uri 'none'과 frame-src 'none'을 설정하여 불필요한 태그 및 프레임 로딩을 차단했습니다.

✅ Verification:

• tests/test_index_security.py 회귀 테스트를 추가하여 CSP가 엄격한 화이트리스트 방식(default-src 'none')으로 설정되어 있고 unsafe-inline, unsafe-eval이 포함되지 않았음을 검증했습니다.
• python3 -m pytest tests/ 명령으로 전체 테스트 스위트가 통과하는지 확인했습니다 (총 11개 테스트 통과).

---

PR created automatically by Jules for task 1161550063132055018 started by @seonghobae

[google-labs-jules]

👋 Jules, reporting for duty! I'm here to lend a hand with this pull request.

When you start a review, I'll add a 👀 emoji to each comment to let you know I've read it. I'll focus on feedback directed at me and will do my best to stay out of conversations between you and other bots or reviewers to keep the noise down.

I'll push a commit with your requested changes shortly after. Please note there might be a delay between these steps, but rest assured I'm on the job!

For more direct control, you can switch me to Reactive Mode. When this mode is on, I will only act on comments where you specifically mention me with @jules. You can find this option in the Pull Request section of your global Jules UI settings. You can always switch back!

New to Jules? Learn more at jules.google/docs.

---

For security, I will only act on instructions from the user who triggered this task.