🛡️ Sentinel: [HIGH] hmac.compare_digest DoS 취약점 수정

[seonghobae]

Verified succession

이 generated branch의 유효한 제품 요구사항은 "비-ASCII/임의 raw credential이 API-key 인증 경계에서 처리되지 않은 hmac.compare_digest(str, str) 예외를 만들지 않고 401로 거절되어야 한다"는 것입니다. 해당 계약은 canonical auth lane #520 exact 9ee46273ad9e7023af23cf88e19e6ee808840334에 완전 승계되고 더 강하게 검증됩니다.

#523 exact cc08a82005565b5483bd2b2a974195628465594f의 실제 delta는 세 경로뿐입니다.

• saas_web.py: request.headers.get()으로 이미 문자열 view가 된 값을 UTF-8 재인코딩하는 단순 bytes 비교;
• tests/test_saas_web.py: raw b'wrong-\xff-key'가 401이어야 한다는 회귀;
• .jules/sentinel.md: 문자열 view를 항상 UTF-8 bytes로 바꾸라는 일반화된 예방 문구.

Canonical #520은 request.scope['headers']의 raw ASGI bytes를 직접 인증 authority로 사용하고 정확히 하나의 X-API-Key만 허용합니다. 따라서 malformed/non-ASCII raw bytes는 예외 없이 401로 거절하면서, configured Unicode credential의 진짜 UTF-8 bytes는 Starlette/Latin-1 문자열 round-trip 없이 정상 인증됩니다. #520은 이 Unicode success path, 다른 Unicode credential rejection, duplicate-header fail-closed, 기존 non-ASCII rejection을 모두 executable regression으로 보유합니다.

#523의 단순 request.headers.get(...).encode('utf-8') 구현은 Unicode configured key의 public contract를 축소할 수 있으므로 successor에 승계할 유효한 별도 source delta가 아닙니다. .jules의 blanket 예방 규칙도 같은 이유로 canonical source보다 약하고 부정확해 별도 승계 대상이 아닙니다.

#520은 protected main@90717c6e9954bf3b7a351137995ebe89975e46c2를 non-force two-parent descendant로 이미 채택했고 fresh compare가 behind_by=0인 exact head 9ee46273...입니다. 해당 head의 hosted CI/security evidence는 새로 queued/pending이며 predecessor evidence는 이전하지 않습니다.

따라서 이 PR은 단순 queue 정리가 아니라 모든 유효 behavior/test contract가 stronger canonical successor #520에 완전 승계되고, 약한/회귀 가능한 구현과 과도한 일반화 문구는 의도적으로 승계하지 않는 verified-succession close 대상입니다.

[google-labs-jules]

👋 Jules, reporting for duty! I'm here to lend a hand with this pull request.

When you start a review, I'll add a 👀 emoji to each comment to let you know I've read it. I'll focus on feedback directed at me and will do my best to stay out of conversations between you and other bots or reviewers to keep the noise down.

I'll push a commit with your requested changes shortly after. Please note there might be a delay between these steps, but rest assured I'm on the job!

For more direct control, you can switch me to Reactive Mode. When this mode is on, I will only act on comments where you specifically mention me with @jules. You can find this option in the Pull Request section of your global Jules UI settings. You can always switch back!

New to Jules? Learn more at jules.google/docs.

---

For security, I will only act on instructions from the user who triggered this task.

[coderabbitai]

Warning

Review limit reached

Next included review available in 59 minutes.

Check out review usage here.

View limit details

Limit details: You’ve used the included review currently available.

You've used all free OSS reviews for now. Wait for the free limit to reset to keep reviewing this public repository.

Learn how review limits work.

Review configuration:

⚙️ Run configuration

Configuration used: Organization UI

Review profile: CHILL

Plan: Team

Run ID: 60074b87-7c9a-4dad-aba0-a4a53101a5aa

📥 Commits

Reviewing files that changed from the base of the PR and between 90717c6 and cc08a82.

📒 Files selected for processing (3)

• .jules/sentinel.md
• saas_web.py
• tests/test_saas_web.py

---

Thanks for using CodeRabbit! It's free for OSS, and your support helps us grow. If you like it, consider giving us a shout-out.

❤️ Share

• X
• Mastodon
• Reddit
• LinkedIn

_{Comment @coderabbitai help to get the list of available commands.}