• 목록
• 답변
• 글쓰기

게시판부분만 점검해 봤습니다.  전체적으로 점검해봐야할 문제라 생각 됩니다. 

# sirsoft-board 정책 제한값 하드코딩 1차 감사 보고서

> 제안 이슈 제목: `[sirsoft-board] 설정 제한값 하드코딩과 정책 불일치로 검증·서비스·UI 계약이 분리됨`

## 결론

**첨부파일 최대 20개 한 건의 문제가 아니라, 설정 가능한 정책값이 검증 요청, 서비스, JSON UI, 다국어 문구, API 문서에 중복 하드코딩되어 실제 계약이 분리된 구조적 결함입니다.**

**본 보고서는 확인된 제한값 관련 경로를 대상으로 한 일부 감사입니다. 이번 결과만으로 `sirsoft-board` 전체 또는 그누보드7 전체에 하드코딩 문제가 없다고 판단할 수 없으며, 정식 출시 전 별도의 전수 감사가 필요합니다.**

중앙 설정이 일부 존재하지만 적용 범위가 일관되지 않아 다음 문제가 이미 발생하고 있습니다.

확인된 핵심 위험은 다음과 같습니다.

| 우선순위 | 문제 | 현재 영향 |

|---|---|---|

| 높음 | 대댓글 저장 깊이가 서비스에서 `5`로 고정됨 | 설정값 `6~10`에서 깊이 제한과 계층 표현이 깨짐 |

| 높음 | 중앙 길이 제한과 관리자 기본설정 API의 검증값이 다름 | UI가 허용하는 `0`을 저장 API가 거부함 |

| 높음 | 비동기 첨부 연결 경로에 게시판별 개수 상한이 없음 | `max_file_count`를 초과한 첨부 연결 가능 |

| 중간 | 자동 숨김 `0=비활성` 정책과 UI 최소값이 다름 | API는 `0`을 허용하지만 관리자 UI는 입력을 막음 |

| 중간 | 답변 깊이 상한이 코드와 문서에서 `10`과 `5`로 분리됨 | 관리자 안내와 API 계약이 실제 검증 규칙과 다름 |

| 낮음 | 표시용 깊이와 첨부 안내 문구가 숫자를 직접 보유함 | 정책 변경 시 화면과 번역 리소스가 다시 어긋날 수 있음 |

최대 첨부 개수 `20`이라는 정책 자체가 결함인 것은 아닙니다. 문제는 이 값을 한 곳에서 변경해도 모든 검증과 UI가 함께 변경되지 않으며, 일부 실제 처리 경로는 해당 정책을 강제하지 않는 구조입니다.

## 감사 범위와 추가 필요성

이번 감사는 `sirsoft-board`에서 제한값 불일치가 확인된 게시판 설정, 댓글·답변 깊이, 첨부파일, 신고·스팸 설정과 직접 연결된 코드만 우선 대조한 1차 표본 감사입니다.

다음 범위는 전수 확인하지 않았으므로 추가 감사가 필요합니다.

- `sirsoft-board` 전체 Controller, Request, Service, Repository, Listener, Job, migration, JSON UI 및 문서

- 숫자 제한 외 상태값, 문자열 Enum, 기본값, 캐시 TTL, 페이지 크기, 재시도 횟수와 배치 크기

- 코어와 다른 번들 모듈·플러그인의 설정값 중복 및 모듈 간 계약 불일치

- 환경설정 변경 시 API, 관리자 UI, 사용자 UI, CLI·Queue가 동일하게 반영되는지에 대한 경계값 테스트

따라서 본 보고서의 확인 항목을 수정하는 것과 별개로, 저장소 전체를 대상으로 정책값 출처와 소비 지점을 자동 대조하는 전수 감사 작업을 진행해야 합니다.

## 확인 기준

| 항목 | 값 |

|---|---|

| 그누보드 버전 | `7.0.4` |

| 원본 게시판 모듈 버전 | `sirsoft-board 1.1.3` |

| 확인 커밋 | `348efa2e98df22b00d30d3a4e267d0305f201758` |

| 확인일 | `2026-07-17` |

| 분석 범위 | 확인된 제한값 관련 config, defaults, FormRequest, Service/Rule, JSON UI, lang, API 문서의 일부 경로 |

현재 작업트리의 별도 첨부 개선 코드와 버전 변경은 원본 결함 근거에서 제외하고, 위 커밋의 원본 코드만 대조했습니다. 본 보고서는 정적 소스 감사 결과이며 원본 코드는 수정하지 않았습니다.

## 상세 결과

### H-01. 대댓글 깊이가 서비스에서 5로 고정됨

중앙 설정은 대댓글 깊이를 `0~10`으로 정의하고 기본값도 `10`으로 지정합니다.

- `modules/_bundled/sirsoft-board/config/board.php:151`

- `modules/_bundled/sirsoft-board/config/settings/defaults.json:18`

검증 규칙도 게시판의 `max_comment_depth`를 사용합니다.

- `modules/_bundled/sirsoft-board/src/Rules/CommentValidationRule.php:114`

그러나 실제 저장 깊이는 다음 서비스 코드에서 `5`로 잘립니다.

```php

$data['depth'] = min(($parentComment->depth ?? 0) + 1, 5);

```

- `modules/_bundled/sirsoft-board/src/Services/CommentService.php:257`

이 때문에 설정값이 `6~10`이면 검증은 더 깊은 대댓글을 허용해도 저장된 `depth`는 계속 5가 됩니다. 이후 검증 역시 부모의 저장 깊이 5를 기준으로 판단하므로 설정 상한이 사실상 무력화될 수 있습니다.

### H-02. 중앙 길이 제한과 관리자 기본설정 API가 불일치함

중앙 제한값은 최소 제목 및 최소 댓글 길이에 `0`을 허용합니다.

```php

'min_title_length_min' => 0,

'min_comment_length_min' => 0,

```

- `modules/_bundled/sirsoft-board/config/board.php:121`

- `modules/_bundled/sirsoft-board/config/board.php:133`

게시판 생성·수정 요청과 관리자 JSON UI는 이 중앙 값을 사용합니다.

- `modules/_bundled/sirsoft-board/src/Http/Requests/StoreBoardRequest.php:116`

- `modules/_bundled/sirsoft-board/src/Http/Requests/UpdateBoardRequest.php:95`

- `modules/_bundled/sirsoft-board/resources/layouts/admin/partials/admin_board_settings/_tab_board_settings_post.json:120`

- `modules/_bundled/sirsoft-board/resources/layouts/admin/partials/admin_board_settings/_tab_board_settings_comment.json:372`

반면 관리자 기본설정 저장 요청은 두 최소값을 직접 `1`로 고정합니다.

```php

'basic_defaults.min_title_length' => ['nullable', 'integer', 'min:1', 'max:200'],

'basic_defaults.min_comment_length' => ['nullable', 'integer', 'min:1', 'max:1000'],

```

- `modules/_bundled/sirsoft-board/src/Http/Requests/Admin/StoreBoardSettingsRequest.php:151`

- `modules/_bundled/sirsoft-board/src/Http/Requests/Admin/StoreBoardSettingsRequest.php:155`

동일한 설정값이 화면에서는 유효하지만 저장 API에서는 422가 되는 계약 불일치입니다.

### H-03. 첨부 개수 정책이 중복되고 비동기 연결 경로에서는 강제되지 않음

게시판 설정의 허용 범위는 중앙 config에 `1~20`으로 정의되어 있습니다.

- `modules/_bundled/sirsoft-board/config/board.php:141`

게시판 생성·수정 요청은 중앙 상한을 사용하지만, 관리자 기본설정 저장 요청은 `20`을 다시 직접 보유합니다.

```php

'basic_defaults.max_file_count' => ['nullable', 'integer', 'min:1', 'max:20'],

```

- `modules/_bundled/sirsoft-board/src/Http/Requests/Admin/StoreBoardSettingsRequest.php:159`

더 큰 문제는 실제 게시글 저장 API의 비동기 첨부 경로입니다. 원본 요청 검증은 `attachment_ids`가 배열과 정수인지 확인할 뿐 게시판의 `max_file_count`를 적용하지 않습니다.

- `modules/_bundled/sirsoft-board/src/Http/Requests/StorePostRequest.php:89`

- `modules/_bundled/sirsoft-board/src/Http/Requests/UpdatePostRequest.php:64`

- `modules/_bundled/sirsoft-board/src/Http/Requests/User/StorePostRequest.php:109`

- `modules/_bundled/sirsoft-board/src/Http/Requests/User/UpdatePostRequest.php:74`

단일 파일 업로드 요청도 파일 크기와 확장자만 검증하며 누적 개수는 확인하지 않습니다.

- `modules/_bundled/sirsoft-board/src/Http/Requests/UploadAttachmentRequest.php:42`

서비스는 전달받은 ID 또는 같은 `temp_key`의 첨부를 개수 확인 없이 연결합니다.

- `modules/_bundled/sirsoft-board/src/Services/PostService.php:830`

- `modules/_bundled/sirsoft-board/src/Services/PostService.php:844`

- `modules/_bundled/sirsoft-board/src/Services/AttachmentService.php:184`

따라서 UI의 `FileUploader` 제한을 우회한 API 요청에서는 게시판별 최대 첨부 개수가 서버의 최종 불변조건으로 보장되지 않습니다.

### M-01. 자동 숨김 비활성 값이 UI와 백엔드에서 다름

백엔드 검증은 `auto_hide_threshold`에 `0~100`을 허용합니다.

- `modules/_bundled/sirsoft-board/src/Http/Requests/Admin/StoreBoardSettingsRequest.php:178`

서비스와 테스트는 `0`을 자동 숨김 비활성 값으로 명시합니다.

- `modules/_bundled/sirsoft-board/src/Services/ReportService.php:732`

- `modules/_bundled/sirsoft-board/tests/Feature/Admin/AutoHideTest.php:184`

그러나 관리자 JSON UI는 최소값을 `1`로 고정합니다.

```json

"min": 1,

"max": 100

```

- `modules/_bundled/sirsoft-board/resources/layouts/admin/partials/admin_board_settings/_tab_report_policy.json:81`

결과적으로 지원되는 비활성 설정을 관리자 화면에서 정상적으로 입력할 수 없습니다.

### M-02. 답변 깊이 계약이 코드와 문서에서 10과 5로 분리됨

현재 검증 상한은 config 기준 `10`이며, 관련 회귀 테스트도 10을 기대합니다.

- `modules/_bundled/sirsoft-board/config/board.php:148`

- `modules/_bundled/sirsoft-board/tests/Feature/Admin/BoardSettingsControllerTest.php:427`

- `modules/_bundled/sirsoft-board/tests/Playwright/specs/admin/board-settings-range-hints.spec.ts:48`

하지만 다음 원본 자료는 여전히 `1~5`로 안내합니다.

- `modules/_bundled/sirsoft-board/database/migrations/2026_04_01_000002_create_boards_table.php:32`

- `modules/_bundled/sirsoft-board/resources/lang/partial/ko/admin.json:905`

- `modules/_bundled/sirsoft-board/resources/lang/partial/ko/admin.json:977`

- `modules/_bundled/sirsoft-board/resources/lang/partial/en/admin.json:977`

- `modules/_bundled/sirsoft-board/docs/api/boards.md:60`

API 문서 안에서도 요청 검증 상한과 응답 필드 설명이 서로 다를 수 있어 외부 클라이언트가 어느 값을 계약으로 따라야 하는지 불명확합니다.

### M-03. 중앙 목록에 없는 운영 정책값이 백엔드와 JSON UI에 반복됨

`new_display_hours`, 신고 정책, 스팸 제한값은 운영자가 변경하는 설정이지만 `config('sirsoft-board.limits')`에 포함되지 않습니다. 같은 숫자가 FormRequest와 JSON UI에 각각 반복됩니다.

대표 사례:

| 설정 | 백엔드 | JSON UI |

|---|---|---|

| 신규 표시 시간 | `1~720` | `1~720` |

| 일일 신고 제한 | `0~100` | `0~100` |

| 신고 거절 횟수 | `0~50` | `0~50` |

| 신고 거절 기간 | `1~365` | `1~365` |

| 글·댓글·신고 쿨다운 | `0~3600` | `0~3600` |

| 조회수 캐시 TTL | `60~604800` | `60~604800` |

근거:

- `modules/_bundled/sirsoft-board/src/Http/Requests/Admin/StoreBoardSettingsRequest.php:168`

- `modules/_bundled/sirsoft-board/src/Http/Requests/Admin/StoreBoardSettingsRequest.php:178`

- `modules/_bundled/sirsoft-board/src/Http/Requests/Admin/StoreBoardSettingsRequest.php:211`

- `modules/_bundled/sirsoft-board/resources/layouts/admin/partials/admin_board_settings/_tab_board_settings_post.json:581`

- `modules/_bundled/sirsoft-board/resources/layouts/admin/partials/admin_board_settings/_tab_report_policy.json:223`

- `modules/_bundled/sirsoft-board/resources/layouts/admin/partials/admin_board_settings/_tab_spam_security.json:73`

현재 값이 일치하더라도 어느 한쪽만 수정하면 즉시 계약이 분리됩니다. M-01은 이 구조가 이미 실제 오류로 이어진 사례입니다.

### L-01. 표시 상한과 정적 안내 문구도 정책 숫자를 직접 보유함

댓글과 답변글 들여쓰기는 화면에서 깊이를 `10`으로 직접 제한합니다.

- `templates/_bundled/sirsoft-basic/layouts/partials/board/show/_comment_item.json:11`

- `templates/_bundled/sirsoft-basic/layouts/partials/board/types/basic/index.json:281`

- `modules/_bundled/sirsoft-board/resources/layouts/admin/partials/admin_board_post_detail/_comments.json:72`

현재 서버 상한과는 일치하지만 상한을 변경하면 데이터 깊이와 화면 표현이 분리됩니다. 표시 상한이 의도된 별도 UX 정책이라면 이름 있는 설정으로 분리해야 합니다.

또한 현재 레이아웃 사용처는 확인되지 않았지만 다국어 리소스에는 여전히 `최대 5개, 10MB` 문구가 남아 있습니다.

- `modules/_bundled/sirsoft-board/resources/lang/partial/ko/admin.json:723`

- `modules/_bundled/sirsoft-board/resources/lang/partial/en/admin.json:722`

사용되지 않는 문구라도 다시 참조되면 게시판별 설정과 다른 안내가 노출될 수 있으므로 제거하거나 동적 치환 방식으로 통일해야 합니다.