React/Vercel 바이브코딩 프로젝트 — 보안 점검 결과

Cursor AI가 생성한 코드에서 process.env.OPENAI_API_KEY를 클라이언트 컴포넌트(use client)에서 직접 참조. 빌드 결과물 JS 번들에 키가 평문 노출됨.

발견 패턴

// ❌ 클라이언트 컴포넌트에서 직접 참조
"use client"
const response = await fetch('/api/rag', {
  headers: { 'Authorization': process.env.OPENAI_API_KEY }
})

CVSS Score

9.1 (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N)

조치 방법

모든 외부 API 호출을 Next.js Route Handler(서버 전용)로 이전. NEXT_PUBLIC_ 접두어 없는 환경변수는 서버에서만 접근 가능.

개인 서사 처리 API(/api/analyze-story)에 인증 미들웨어 누락. 누구든 직접 요청 가능하여 LLM 비용 무제한 소모 및 개인정보 처리 가능.

재현 방법

curl -X POST https://your-app.vercel.app/api/analyze-story \
  -H "Content-Type: application/json" \
  -d '{"story": "임의 텍스트"}'
# → 200 OK (인증 없이 LLM 호출됨)

조치 방법

NextAuth.js 세션 검증 또는 API 키 기반 인증 추가. Rate limiting(upstash/ratelimit 등) 적용 필수.

console.log(userData) 패턴이 개인 서사(성명, 기념일, 연락처)를 Vercel 함수 로그에 평문으로 기록. Vercel 대시보드 접근 권한자 전원에게 노출.

관련 법규

개인정보보호법 제29조 (안전조치의무) — 개인정보 처리 기록 최소화 의무

조치 방법

프로덕션 환경에서 개인정보 필드 마스킹 후 로깅. NODE_ENV === 'production' 조건부 처리.

API 응답 헤더에 Access-Control-Allow-Origin: * 설정으로 모든 도메인에서 인증된 요청 허용. 9월 론칭 후 고객 세션 탈취 공격 가능.

조치 방법

next.config.js의 headers() 설정을 프로덕션 도메인만 허용하도록 화이트리스트 적용.

주얼리 레퍼런스 이미지 업로드 시 파일 타입·크기 검증 없음. MIME 타입 위조 공격 및 서버 부하 유발 가능.

조치 방법

sharp 라이브러리로 이미지 재처리 (서버 사이드 변환 시 악성 페이로드 제거). Vercel Blob 업로드 전 magic bytes 검증 추가.

Preview 배포에서 Production DB URL이 그대로 사용됨. PR 미리보기 링크를 통한 운영 데이터 접근 가능.

조치 방법

Vercel 프로젝트 설정 → Environment Variables에서 각 변수의 적용 환경(Production/Preview/Development)을 명시적으로 분리. Preview는 별도 스테이징 DB 지정.