🛡️ Sentinel: [security improvement]

.jules/sentinel.md

@@ -47,3 +47,8 @@
 **Vulnerability:** 사용자 입력값(`lang`)을 검증 없이 `console.warn`과 같은 로그 함수에 그대로 보간하여 출력할 경우, 로그 인젝션(Log Forging) 공격에 노출될 수 있음.
 **Learning:** 사용자 입력이 포함된 문자열을 직접 보간하면 악의적인 페이로드가 로그 파일에 주입되어 로그 분석 시스템을 방해하거나 다른 취약점을 연계할 수 있음.
 **Prevention:** 로그를 남길 때는 검증되지 않은 외부 입력값을 동적으로 문자열에 주입(Interpolation)하는 대신, 사전에 정의된 정적이고 안전한 메시지로 대체해야 함.
+
+## 2026-08-23 - [보안 강화: SSR 방어적 프로그래밍 추가]
+**Vulnerability:** `localStorage`에 직접 접근할 경우 서버 사이드 렌더링(SSR) 환경이나 글로벌 객체가 정의되지 않은 엄격한 환경에서 예기치 않은 오류가 발생할 수 있음.
+**Learning:** 클라이언트 측 저장소인 `localStorage`를 다룰 때는 항상 `typeof window !== "undefined"`를 통해 실행 환경을 확인해야 안전하게 동작함.
+**Prevention:** `localStorage.getItem` 및 `setItem` 호출 전에 윈도우 객체의 존재 여부를 엄격하게 확인하도록 수정함.

CHANGELOG.md

@@ -1,6 +1,8 @@
 # CHANGELOG
 
 ## [Unreleased]
+
+- **보안 개선**: SSR 환경 등 윈도우 객체가 없는 상황에서 `localStorage` 접근으로 인한 예기치 않은 크래시를 방지하기 위해 방어적 프로그래밍(typeof window !== "undefined")을 적용했습니다.
 - **보안 개선**: `i18n.js`에서 잘못된 언어 요청 시 `console.warn` 메시지에 사용자 입력값이 직접 포함되지 않도록 수정하여 로그 인젝션(Log Injection) 취약점을 제거했습니다.
 - **성능 개선**: `.skip-link` 애니메이션을 `top`에서 `transform: translateY()`로 변경하여 전환 중 레이아웃 재계산을 줄일 수 있도록 했습니다. 실제 효과는 브라우저별 측정 대상입니다.
 - **렌더링 힌트 정합성**: 첫 화면의 eager 이미지와 단일 LCP 후보에서 강제 `decoding="async"`를 제거해 HTML 표준의 기본 `auto` 판단에 맡기고, 지연 로드 이미지에는 비동기 디코딩 힌트를 유지했습니다. 정적 테스트가 eager, lazy, LCP 후보 집합의 존재와 조합을 검증하며, 실제 LCP 효과는 배포 후 실측 대상으로 유지합니다.

i18n.js

@@ -301,8 +301,10 @@ function preferredLanguage() {
   if (allowed.includes(query)) return query;
 
   try {
-    const saved = localStorage.getItem("cwl-language");
-    if (allowed.includes(saved)) return saved;
+    if (typeof window !== "undefined" && window.localStorage) {
+      const saved = window.localStorage.getItem("cwl-language");
+      if (allowed.includes(saved)) return saved;
+    }
   } catch (error) {
     // Fail securely: ignore localStorage errors in strict privacy modes
   }
@@ -385,7 +387,9 @@ function setLanguage(lang) {
   });
 
   try {
-    localStorage.setItem("cwl-language", lang);
+    if (typeof window !== "undefined" && window.localStorage) {
+      window.localStorage.setItem("cwl-language", lang);
+    }
   } catch (error) {
     // Fail securely: ignore localStorage errors
   }

tests/test_i18n_security.py

@@ -23,3 +23,10 @@ def test_i18n_avoids_log_injection() -> None:
         content = f.read()
 
     assert 'console.warn("[Security] Invalid language requested. Falling back to default.");' in content
+
+def test_i18n_ssr_safe_localstorage() -> None:
+    """Test that localStorage access is guarded by typeof window !== 'undefined' check."""
+    with open("i18n.js", "r", encoding="utf-8") as f:
+        content = f.read()
+
+    assert 'if (typeof window !== "undefined" && window.localStorage)' in content