🛡️ Sentinel: [MEDIUM] 파일 교체 시 원자적 쓰기(Atomic Move) 지원을 통한 TOCTOU 완화 by seonghobae · Pull Request #326 · ContextualWisdomLab/html4tree

seonghobae · 2026-07-31T21:16:00Z

html4tree CLI가 index.html 파일을 생성/교체할 때 원자성(Atomicity)을 보장하기 위한 보안 강화 패치입니다.

🛡️ Sentinel: 보안 강화

취약점: Files.move를 사용할 때 StandardCopyOption.REPLACE_EXISTING만 지정하면, 운영체제와 파일 시스템에 따라 덮어쓰기가 원자적으로 이루어지지 않을 수 있습니다. 이 찰나의 순간에 외부 프로세스나 사용자가 부분적으로 작성된(corrupted) 파일을 읽거나, 악의적인 심볼릭 링크 스왑 공격(TOCTOU)을 시도할 수 있습니다.
해결책: StandardCopyOption.ATOMIC_MOVE를 옵션 배열에 추가하여 파일 이동이 원자적으로 수행되도록 보장합니다.
안전장치(Fail Securely): 모든 환경(예: 서로 다른 파티션 간 이동이나 특정 파일 시스템)이 ATOMIC_MOVE를 지원하는 것은 아닙니다. 이를 방지하기 위해 AtomicMoveNotSupportedException 발생 시 기존의 REPLACE_EXISTING 방식으로 Fallback 하도록 try-catch 블록을 구현했습니다.
테스트용 람다 매개변수를 추가하여 Fallback 로직이 올바르게 작동하는지 검증하고 **JaCoCo 테스트 커버리지 100%**를 유지했습니다.
.jules/sentinel.md에 관련된 보안 학습 내용을 한국어로 기록했습니다.

PR created automatically by Jules for task 14788499207812561110 started by @seonghobae

Summary by CodeRabbit

버그 수정
- index.html 생성 과정의 파일 교체 안정성이 향상되었습니다.
- 원자적 파일 이동을 지원하지 않는 환경에서도 파일이 정상적으로 생성되도록 처리됩니다.
테스트
- 원자적 이동을 사용할 수 없는 환경에서의 파일 생성 동작을 검증하는 테스트가 추가되었습니다.

파일 교체 시 발생하는 TOCTOU(Time-of-Check to Time-of-Use) 취약점 및 파일 찢어짐(File Tearing) 현상을 방지하기 위해 StandardCopyOption.ATOMIC_MOVE를 적용했습니다. 파일 시스템이 이를 지원하지 않는 경우를 대비해 AtomicMoveNotSupportedException을 안전하게 처리하는 Fallback 로직도 함께 추가하고, 테스트 커버리지 100%를 달성했습니다.

google-labs-jules · 2026-07-31T21:16:02Z

👋 Jules, reporting for duty! I'm here to lend a hand with this pull request.

When you start a review, I'll add a 👀 emoji to each comment to let you know I've read it. I'll focus on feedback directed at me and will do my best to stay out of conversations between you and other bots or reviewers to keep the noise down.

I'll push a commit with your requested changes shortly after. Please note there might be a delay between these steps, but rest assured I'm on the job!

For more direct control, you can switch me to Reactive Mode. When this mode is on, I will only act on comments where you specifically mention me with @jules. You can find this option in the Pull Request section of your global Jules UI settings. You can always switch back!

New to Jules? Learn more at jules.google/docs.

For security, I will only act on instructions from the user who triggered this task.

coderabbitai · 2026-07-31T21:16:16Z

Warning

Review limit reached

@seonghobae, you've reached your PR review limit, so we couldn't start this review.

Next review available in: 5 minutes

Enable usage-based reviews in Billing to review now. Otherwise, wait until the next included review is available.
You're only billed for reviews past your plan's rate limits ($0.25/file).

How can I continue?

After more reviews become available, a review can be triggered using the @coderabbitai review command as a PR comment. Alternatively, push new commits to this PR.

To avoid repeated limits, reduce automatic review volume by pausing incremental auto-reviews earlier, using label-based review opt-in, excluding WIP or generated PR titles, or requesting reviews manually when the PR is ready. If your team needs uninterrupted high-volume reviews, an organization admin can enable usage-based reviews.

How do review limits work?

CodeRabbit enforces per-developer PR review limits for each organization. Most developers receive the normal plan review availability.

For paid Pro and Pro+ PR reviews, CodeRabbit uses adaptive limits for sustained high-volume activity. When a developer's recent PR review activity reaches the 95th percentile or higher among CodeRabbit users, additional reviews become available more gradually as earlier reviews age out of the rolling window.

Please refer docs for additional details.

Review details

⚙️ Run configuration

Configuration used: Organization UI

Review profile: CHILL

Plan: Pro Plus

Run ID: d0d78130-3307-4010-b3dc-3d556b617384

📥 Commits

Reviewing files that changed from the base of the PR and between 8bb38fc and dc4de39.

📒 Files selected for processing (5)

.jules/palette.md
AGENTS.md
build.gradle
src/main/kotlin/html4tree/main.kt
src/test/kotlin/html4tree/MainTest.kt

📝 Walkthrough

Walkthrough

write_index_file이 임시 파일을 원자적으로 교체합니다. 원자적 이동을 지원하지 않는 파일 시스템에서는 REPLACE_EXISTING 이동으로 대체합니다. 테스트는 대체 경로와 생성된 index.html 내용을 검증합니다.

Changes

원자적 index.html 파일 쓰기

Layer / File(s)	Summary
원자적 파일 이동 구현 `.jules/sentinel.md`, `src/main/kotlin/html4tree/main.kt`	`write_index_file`이 임시 파일을 `ATOMIC_MOVE`와 `REPLACE_EXISTING`으로 이동합니다. `AtomicMoveNotSupportedException` 발생 시 일반 교체 이동을 수행합니다.
원자적 이동 대체 경로 검증 `src/test/kotlin/html4tree/MainTest.kt`	이동 콜백이 원자적 이동을 거부할 때 대체 이동이 실행되고 최종 `index.html` 내용이 유지되는지 검증합니다.

Estimated code review effort: 2 (Simple) | ~10 minutes

Possibly related PRs

ContextualWisdomLab/html4tree#296: write_index_file의 원자적 교체 및 미지원 파일 시스템 대체 경로와 테스트를 함께 변경합니다.
ContextualWisdomLab/html4tree#305: ATOMIC_MOVE와 REPLACE_EXISTING 대체 경로 및 관련 테스트를 변경합니다.

Suggested reviewers: copilot

🚥 Pre-merge checks | ✅ 5

✅ Passed checks (5 passed)

Check name	Status	Explanation
Description Check	✅ Passed	Check skipped - CodeRabbit’s high-level summary is enabled.
Title check	✅ Passed	제목은 파일 교체에 원자적 이동을 지원하여 TOCTOU 위험을 완화하는 주요 변경 사항을 정확하게 설명합니다.
Docstring Coverage	✅ Passed	No functions found in the changed files to evaluate docstring coverage. Skipping docstring coverage check.
Linked Issues check	✅ Passed	Check skipped because no linked issues were found for this pull request.
Out of Scope Changes check	✅ Passed	Check skipped because no linked issues were found for this pull request.

✨ Finishing Touches

📝 Generate docstrings

Create stacked PR
Commit on current branch

🧪 Generate unit tests (beta)

Create PR with unit tests
Commit unit tests in branch security/atomic-move-index-html-14788499207812561110

_{Comment @coderabbitai help to get the list of available commands.}

파일 교체 시 발생하는 TOCTOU(Time-of-Check to Time-of-Use) 취약점 및 파일 찢어짐(File Tearing) 현상을 방지하기 위해 StandardCopyOption.ATOMIC_MOVE를 적용했습니다. 파일 시스템이 이를 지원하지 않는 경우를 대비해 AtomicMoveNotSupportedException을 안전하게 처리하는 Fallback 로직도 함께 추가하고, 테스트 커버리지 100%를 달성했습니다.

…7812561110

coderabbitai

Actionable comments posted: 1

🤖 Prompt for all review comments with AI agents

Verify each finding against current code. Fix only still-valid issues, skip the
rest with a brief reason, keep changes minimal, and validate.

Inline comments:
In `@src/test/kotlin/html4tree/MainTest.kt`:
- Around line 438-444: Update the write_index_file fallback callback in MainTest
so it verifies the replacement move options exactly: require one option and
ensure it is StandardCopyOption.REPLACE_EXISTING before setting fallbackCalled
and performing Files.move. Keep the existing AtomicMoveNotSupportedException
path and final content assertions unchanged.

🪄 Autofix

Fix all unresolved CodeRabbit comments on this PR:

Push a commit to this branch (recommended)
Create a new PR with the fixes

ℹ️ Review info

⚙️ Run configuration

Configuration used: Organization UI

Review profile: CHILL

Plan: Pro Plus

Run ID: e3a332c2-e56b-458d-a2aa-d18fab0ca346

📥 Commits

Reviewing files that changed from the base of the PR and between a32b065 and 8bb38fc.

📒 Files selected for processing (3)

.jules/sentinel.md
src/main/kotlin/html4tree/main.kt
src/test/kotlin/html4tree/MainTest.kt

coderabbitai · 2026-08-04T21:11:21Z

+        write_index_file(tempDir, content) { src, dest, options ->
+            if (options.contains(StandardCopyOption.ATOMIC_MOVE)) {
+                throw AtomicMoveNotSupportedException(src.toString(), dest.toString(), "Mocked exception")
+            } else {
+                fallbackCalled = true
+                Files.move(src, dest, *options)
+            }


🎯 Functional Correctness | 🟡 Minor | ⚡ Quick win

대체 이동 옵션을 정확히 검증하세요.

현재 테스트는 ATOMIC_MOVE가 없으면 모든 옵션을 대체 경로로 인정합니다. REPLACE_EXISTING을 누락해도 fallbackCalled와 최종 내용 검증만으로 테스트가 통과합니다. 옵션 배열의 크기와 options[0] == StandardCopyOption.REPLACE_EXISTING을 검증하세요.

수정 예시

} else { fallbackCalled = true + assertEquals(1, options.size) + assertEquals(StandardCopyOption.REPLACE_EXISTING, options[0]) Files.move(src, dest, *options) }

📝 Committable suggestion

‼️ IMPORTANT
Carefully review the code before committing. Ensure that it accurately replaces the highlighted code, contains no missing lines, and has no issues with indentation. Thoroughly test & benchmark the code to ensure it meets the requirements.

Suggested change

write_index_file(tempDir, content) { src, dest, options ->

if (options.contains(StandardCopyOption.ATOMIC_MOVE)) {

throw AtomicMoveNotSupportedException(src.toString(), dest.toString(), "Mocked exception")

} else {

fallbackCalled = true

Files.move(src, dest, *options)

}

write_index_file(tempDir, content) { src, dest, options ->

if (options.contains(StandardCopyOption.ATOMIC_MOVE)) {

throw AtomicMoveNotSupportedException(src.toString(), dest.toString(), "Mocked exception")

} else {

fallbackCalled = true

assertEquals(1, options.size)

assertEquals(StandardCopyOption.REPLACE_EXISTING, options[0])

Files.move(src, dest, *options)

}

🤖 Prompt for AI Agents

Verify each finding against current code. Fix only still-valid issues, skip the rest with a brief reason, keep changes minimal, and validate. In `@src/test/kotlin/html4tree/MainTest.kt` around lines 438 - 444, Update the write_index_file fallback callback in MainTest so it verifies the replacement move options exactly: require one option and ensure it is StandardCopyOption.REPLACE_EXISTING before setting fallbackCalled and performing Files.move. Keep the existing AtomicMoveNotSupportedException path and final content assertions unchanged.

파일 교체 시 발생하는 TOCTOU(Time-of-Check to Time-of-Use) 취약점 및 파일 찢어짐(File Tearing) 현상을 방지하기 위해 StandardCopyOption.ATOMIC_MOVE를 적용했습니다. 파일 시스템이 이를 지원하지 않는 경우를 대비해 AtomicMoveNotSupportedException을 안전하게 처리하는 Fallback 로직도 함께 추가하고, 테스트 커버리지 100%를 달성했습니다.

seonghobae and others added 2 commits July 31, 2026 22:05

Merge branch 'master' into security/atomic-move-index-html-1478849920…

8bb38fc

…7812561110

coderabbitai Bot reviewed Aug 4, 2026

View reviewed changes

Navigation Menu

Uh oh!

🛡️ Sentinel: [MEDIUM] 파일 교체 시 원자적 쓰기(Atomic Move) 지원을 통한 TOCTOU 완화 - #326

🛡️ Sentinel: [MEDIUM] 파일 교체 시 원자적 쓰기(Atomic Move) 지원을 통한 TOCTOU 완화#326
seonghobae wants to merge 4 commits into
masterfrom
security/atomic-move-index-html-14788499207812561110

seonghobae commented Jul 31, 2026 •

edited by coderabbitai Bot

Loading

Uh oh!

google-labs-jules Bot commented Jul 31, 2026

Uh oh!

coderabbitai Bot commented Jul 31, 2026 •

edited

Loading

Review limit reached

Walkthrough

Changes

Uh oh!

coderabbitai Bot left a comment

Uh oh!

coderabbitai Bot Aug 4, 2026

Uh oh!

Reviewers

Assignees

Labels

Projects

Milestone

Development

Uh oh!

1 participant

Uh oh!

Conversation

seonghobae commented Jul 31, 2026 • edited by coderabbitai Bot Loading Uh oh! There was an error while loading. Please reload this page.

Uh oh!

🛡️ Sentinel: 보안 강화

Summary by CodeRabbit

Uh oh!

google-labs-jules Bot commented Jul 31, 2026

Uh oh!

coderabbitai Bot commented Jul 31, 2026 • edited Loading Uh oh! There was an error while loading. Please reload this page.

Uh oh!

Review limit reached

Walkthrough

Changes

Uh oh!

coderabbitai Bot left a comment

Choose a reason for hiding this comment

Uh oh!

coderabbitai Bot Aug 4, 2026

Choose a reason for hiding this comment

Uh oh!

Reviewers

Assignees

Labels

Projects

Milestone

Development

Uh oh!

1 participant

seonghobae commented Jul 31, 2026 •

edited by coderabbitai Bot

Loading

coderabbitai Bot commented Jul 31, 2026 •

edited

Loading