/fireauto-secure-guide

name: fireauto-secure-guide
description: >
  "보안 점검", "security check", "security audit", "취약점 분석",
  "vulnerability scan", "보안 감사", "시크릿 노출", "API 보안", "인증 점검",
  "rate limit" 등 보안 관련 코드 리뷰나 취약점 감사 시 사용하세요.

보안 감사 방법론

실제 SaaS 프로젝트에서 총 18개 취약점을 발견한 패턴을 기반으로 한 보안 감사 방법론.

감사 8개 카테고리

1. **환경변수/시크릿 노출** — .env 파일, 하드코딩된 키, NEXT_PUBLIC_ 오용 2. **인증/인가** — 미인증 API, admin 클라이언트 남용, RLS 우회 3. **Rate Limiting** — AI/비용 발생 엔드포인트 보호 4. **파일 업로드** — MIME 검증, 크기 제한, 위험 파일 차단 5. **스토리지 보안** — 퍼블릭 버킷, URL 추측 6. **Prompt Injection** — 사용자 입력 직접 삽입 7. **정보 노출** — 에러 상세, CSP 헤더 8. **의존성 취약점** — npm audit, CVE

심각도 분류

| 심각도 | 기준 | |--------|------| | CRITICAL | 즉시 조치. 데이터 유출, 인증 우회, 시크릿 노출 | | HIGH | 빠른 조치. 서비스 장애, 비용 발생 가능 | | MEDIUM | 계획적 조치. 특정 조건에서 악용 가능 | | LOW | 개선 권장. 보안 강화 목적 |

핵심 검색 패턴

시크릿 노출

"sk-", "sk_live", "sk_test"           → API 키
"password.*=", "secret.*=", "token.*=" → 하드코딩
"NEXT_PUBLIC_.*SERVICE"                → 서비스 키 클라이언트 노출

인증 누락

API 라우트에서 아래 패턴이 없으면 인증 미적용:
"getSession", "getUser", "auth()", "cookies()"

Rate Limit 누락

AI 호출: "openai", "anthropic", "claude", "gpt"
같은 파일에 "ratelimit"이 없으면 취약

Prompt Injection

content: `...${userInput}...`
→ 시스템 프롬프트와 사용자 메시지가 분리되어야 함

우선순위 산정

**우선순위 = 심각도 점수 × 구현 용이성**

• 심각도: CRITICAL(4), HIGH(3), MEDIUM(2), LOW(1)
• 구현 용이성: 쉬움(3), 보통(2), 어려움(1)

커맨드

`/fireauto-secure` 실행으로 전체 보안 감사를 시작한다.

추가 리소스

상세 검색 패턴과 수정 가이드: `references/patterns.md`