fix: 푸시로 열리는 웹뷰의 학생 토큰 주입과 외부 링크 처리를 고친다

[seongwon030]

원래 세 PR(#40, #41, #42)이었는데 같은 파일들을 연달아 고치는 한 덩어리라 합쳤습니다. 커밋 5개입니다. #41에 달렸던 CodeRabbit 지적과 대응은 아래 3번에 그대로 옮겼습니다.

앱이 여는 웹뷰의 경계 문제 모음입니다. utils/webview.ts, ui/home/home-webview-screen.tsx, app/webview/[slug].tsx.

---

1. ddddf1c — 답장 알림으로 연 편지함이 비어 보인다

우체통은 로그인 없이 쓰므로 익명 학생 토큰으로 사람을 구분합니다. 웹은 앱이 주입한 토큰을 먼저 쓰고(studentFetch.ts:98), 없으면 자기 토큰을 발급합니다. 그러면 앱과 신원이 갈려 편지함이 비어 보입니다.

PR #28이 주입을 넣었지만 홈 웹뷰에만 있었습니다:

1. FeedbackAdminService.java:239-240 — 답장 푸시가 path=/feedback/letters/<id> 전송
2. use-fcm.ts:36-50 — /webview/clubDetail/로 시작하지 않는 path는 /webview/[slug]로
3. [slug].tsx — 주입 없음
4. studentFetch.ts:102-103 — localStorage도 비어 있어(주입 경로는 localStorage에 안 씀) 새 신원 발급

주입 스크립트 생성을 utils/webview.ts로 올려 공유합니다.

가드 기준을 진입 URL이 아니라 모아동 URL로 바꿨습니다. 기존 홈 코드는 new URL(BASE_URL).origin !== window.location.origin인데, [slug]는 진입 URL 자체가 외부일 수 있어 "외부 == 외부"로 통과합니다. 그대로 옮겼으면 외부 사이트에 베어러 토큰이 주입됐습니다.

가드가 두 겹입니다 — RN 쪽(진입 URL)과 스크립트 안(실행 시점 origin). 두 번째를 웹뷰 안에서 하는 건 RN의 URL 폴리필이 호스트 대소문자·기본 포트를 정규화하지 않아 RN에서 만든 origin 문자열이 window.location.origin과 어긋날 수 있기 때문입니다(기존 주석의 지식).

club-detail-screen.tsx에는 넣지 않았습니다 — studentFetch를 쓰는 페이지를 직접 열지 않습니다.

2. e537a34 — 외부 링크에 session_id가 붙고 Android에선 안 열린다

iOS: session_id는 웹 Mixpanel의 distinct_id인데 [slug].tsx가 목적지를 안 가리고 붙여서 제3자 도메인 로그에 남았습니다. → 모아동 오리진일 때만 붙입니다.

Android: setSupportMultipleWindows 기본값 true라 target='_blank'가 onCreateWindow로 갑니다. onOpenWindow 핸들러가 없으면 RNCWebChromeClient.java:89-114가 WebViewClient도 없는 new WebView(context) 를 만들어 넘기는데 그 뷰가 어떤 계층에도 안 붙습니다 → 무반응. → setSupportMultipleWindows={false}.

둘을 같이 고칩니다. Android 링크만 살리면 session_id가 나가는 경로가 Android로도 번집니다.

3. 0042397 — 내부 URL 판정이 prefix 비교였다 (CodeRabbit 지적)

🟠 Major · CWE-346 Origin Validation Error
request.url.startsWith(baseOrigin)는 https://moadong.com.evil.com을 내부 URL로 승인합니다.

확인한 판정 차이:

URL	수정 전	수정 후
moadong.com/clubs	내부 승인	내부 승인
moadong.com.evil.com/pwn	내부 승인	외부 판정
moadong.community-evil.io/	내부 승인	외부 판정
instagram.com/x	외부 판정	외부 판정

파싱한 origin끼리 비교합니다(isWebViewOrigin 재사용). 고아가 된 baseOrigin 지역변수는 제거했습니다. 주입 토큰 가드는 원래 new URL(...).origin 비교라 이 경로로는 유출되지 않았습니다.

지적의 나머지("onMessage에도 origin 검증")는 4번이 해결합니다 — 외부 페이지가 onMessage 붙은 WebView에 아예 뜨지 않게 됩니다.

4. d386506 — 외부 사이트를 앱 화면에 띄우고 있었다

외부 URL이 [slug].tsx의 <WebView>에 로드됐습니다. 사용자에게는 모아동 헤더가 붙고 제목은 기본값 "웹페이지" 로 떠서 어느 사이트인지 알 단서가 없습니다. 기술적으로는 앱 프로세스 안이라 그 페이지가 window.ReactNativeWebView.postMessage로 브리지를 그대로 씁니다.

WebBrowser.openBrowserAsync로 넘깁니다(iOS SFSafariViewController, Android Custom Tabs). OS 브라우저 프로세스라 앱 JS에 닿지 못하고, 도메인이 표시되며, 시스템 브라우저 세션을 공유합니다.

새로 도입하는 방식이 아닙니다. banner.tsx:328, external-link.tsx:18, OPEN_EXTERNAL_URL 핸들러가 이미 같은 함수를 씁니다. slug: 'external' 경로만 예외였습니다.

대상: ClubUnionPage.tsx:76,89(인스타·카톡), ContactSection.tsx:19(문의하기) — preventDefault 없는 생 <a target="_blank">.

---

검증

• tsc --noEmit 통과 (exit 0)
• npm run lint — 0 errors, 5 warnings 전부 기존 import/no-named-as-default
• 토큰 주입 가드 7가지 (모아동만 주입, 인스타·Notion·서브도메인·깨진 URL 차단)
• URL session_id 6가지 (모아동만 부착)
• 내비게이션 판정 6가지 (외부 3종 → 브라우저, 내부 이동·intent:// 그대로)

실기기 확인

#39가 선행입니다. iOS는 푸시 탭이 화면 이동을 못 해 이 화면에 도달하지 못합니다.

• 답장 푸시 탭 → 편지 상세에 내 편지가 보인다
• Android 총동아리연합회 인스타 링크 탭 → 열린다 (지금은 무반응)
• iOS 같은 링크 → 브라우저 시트로 열리고 주소에 session_id 없음
• 홈 웹뷰에서 우체통 진입 회귀 없음
• 모아동 내부 화면은 session_id가 그대로 붙어 웹 Mixpanel identify 동작

5. e9d9989 — 목적지를 url 파라미터로 받지 않는다

4번으로 앱 안에서 이 화면에 url을 넘기는 곳이 없어졌습니다(/webview/[slug] 호출 4곳 모두 path나 slug만 넘김). 그런데 받는 쪽이 남아 있으면 moadongapp://webview/x?url=https://... 딥링크로 임의 사이트를 이 화면에 띄울 수 있습니다. 이 화면은 onMessage가 붙어 있어 그 페이지가 앱 브리지를 그대로 쓰고, 사용자에겐 모아동 헤더가 붙은 화면으로 보입니다.

목적지를 path 또는 pageConfig로만 정합니다.

진입	결과
푸시 답장 (use-fcm, path=/feedback/letters/L1)	moadong.com/feedback/letters/L1
홍보 (브리지, path)	moadong.com/promotions/...
소개 (slug만, pageConfig)	moadong.com/introduce
딥링크 ?url=	오류 화면
등록 안 된 slug	오류 화면 (기존 동작)

오리진 가드는 그대로 뒀습니다 — pageConfig에 외부 URL 항목(privacy-policy의 Notion 주소)이 남아 있어 baseUrl이 모아동이 아닐 수 있습니다.

---

남는 것

isUserInitiated가 false인 경로(서버 리다이렉트로 외부 이동)는 그대로 홈 웹뷰에 로드됩니다.

pageConfig['privacy-policy']의 Notion 주소는 도달 불가한 죽은 설정입니다 — 개인정보처리방침이 웹으로 이관됐고(be032f8e7), 여기로 들어가는 유일한 길인 requestNavigateWebview는 웹에 호출처가 0건입니다. 이 PR과 무관해서 건드리지 않았습니다.

[coderabbitai]

Warning

Review limit reached

Next included review available in 10 minutes.

Check out review usage here.

View limit details

Limit details: You’ve used the included review currently available.

You've used all free OSS reviews for now. Wait for the free limit to reset to keep reviewing this public repository.

Learn how review limits work.

Review configuration:

⚙️ Run configuration

Configuration used: Organization UI

Review profile: CHILL

Plan: Advanced

Run ID: 68a4abdc-e5ab-40bf-9dee-28562df21787

📥 Commits

Reviewing files that changed from the base of the PR and between 16ae7da and e9d9989.

📒 Files selected for processing (3)

• app/webview/[slug].tsx
• ui/home/home-webview-screen.tsx
• utils/webview.ts

---

Thanks for using CodeRabbit! It's free for OSS, and your support helps us grow. If you like it, consider giving us a shout-out.

❤️ Share

• X
• Mastodon
• Reddit
• LinkedIn

_{Comment @coderabbitai help to get the list of available commands.}