🛡️ Sentinel: CSP의 unsafe-inline 제거 및 nonce 적용을 통한 보안 강화

[seonghobae]

🛡️ Sentinel: [HIGH] Fix XSS Vulnerability in Auto-generated HTML

🚨 Severity: HIGH
💡 Vulnerability: 생성되는 HTML의 Content-Security-Policy(CSP)에 style-src 'unsafe-inline'이 포함되어 있어 악의적인 스타일 인젝션을 통한 XSS 공격의 여지가 있었습니다. 또한 style="..." 형태의 인라인 스타일을 사용하고 있었습니다.
🎯 Impact: 공격자가 조작된 파일 이름이나 구조를 통해 사용자의 브라우저에서 임의의 스크립트나 스타일을 실행할 가능성이 있었습니다.
🔧 Fix:

1. java.util.UUID를 활용해 HTML 렌더링 시 고유한 nonce 값을 동적으로 생성하도록 변경했습니다.
2. unsafe-inline을 CSP에서 제거하고 nonce를 적용했습니다.
3. 기존 인라인 스타일을 CSS 클래스(.link-item, .empty-msg)로 변경하여 보안 정책을 준수하게 했습니다.
   ✅ Verification: ./gradlew test jacocoTestReport를 실행하여 100% 테스트 커버리지를 검증하였으며, MainTest.kt에서 새로 도입된 nonce 및 CSS 클래스를 검사하도록 업데이트했습니다.

---

PR created automatically by Jules for task 18369353024831413462 started by @seonghobae

[google-labs-jules]

👋 Jules, reporting for duty! I'm here to lend a hand with this pull request.

When you start a review, I'll add a 👀 emoji to each comment to let you know I've read it. I'll focus on feedback directed at me and will do my best to stay out of conversations between you and other bots or reviewers to keep the noise down.

I'll push a commit with your requested changes shortly after. Please note there might be a delay between these steps, but rest assured I'm on the job!

For more direct control, you can switch me to Reactive Mode. When this mode is on, I will only act on comments where you specifically mention me with @jules. You can find this option in the Pull Request section of your global Jules UI settings. You can always switch back!

New to Jules? Learn more at jules.google/docs.

---

For security, I will only act on instructions from the user who triggered this task.