Files
Aislo/common_util
eomsangdonandClaude Opus 5 f82e60492e fix(security): 프로젝트 경로가 붙는 API가 그 프로젝트의 회사를 대조하게 한다
B03~B07 라우터는 로그인·회사 소속만 확인하고 URL의 project_id가 누구 것인지는 보지
않았다. 프로젝트 id만 알면 남의 회사 자료를 읽고 쓸 수 있었고, B07 도각 저장(PUT)은
그 회사의 공용 양식을 덮어쓴다.

require_project_access를 protected_with_company에 함께 걸어 경로에 project_id가 있는
요청만 한 곳에서 검사한다. 다른 회사면 403, 없는 프로젝트면 404, 시스템 관리자는 통과.

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>
2026-09-01 16:11:24 +09:00
..
2026-07-05 21:27:23 +09:00
2026-07-17 12:51:47 +09:00
2026-07-19 10:45:22 +09:00
2026-07-05 21:27:23 +09:00