postMessage 수신 시 Origin(출처) 검증 누락

// 변경 전: origin 검증 없음, 위험 API/동작 수행
window.addEventListener("message", (e) => {
  // 외부 어떤 창이든 보낸 메시지를 그대로 신뢰
  if (e.data && e.data.type === "setTheme") {
    document.documentElement.setAttribute("data-theme", e.data.value);
  }

  // 매우 위험: 수신 데이터 실행
  if (e.data && e.data.exec) {
    eval(e.data.exec); // 공격자가 임의 코드 실행 가능
  }

  // 토큰 등 민감 정보 설정/전송
  if (e.data && e.data.accessToken) {
    localStorage.setItem("access_token", e.data.accessToken);
  }
});

// 변경 후: 엄격한 origin & source 검증 + 데이터 스키마 검증
(() => {
  const ALLOWED_ORIGINS = new Set([
    "https://app.example.com",
    "https://admin.example.com",
  ]);

  // 예상된 보낸 쪽 창(예: 특정 iframe)을 알고 있다면 참조 보관
  const settingsFrame = document.getElementById("settings-frame");
  const expectedSource = settingsFrame ? settingsFrame.contentWindow : null;

  function isValidPayload(payload) {
    // 최소한의 스키마 검증: 객체이며 허용된 타입만 허용
    if (!payload || typeof payload !== "object") return false;
    const allowedTypes = new Set(["setTheme", "ping"]);
    return typeof payload.type === "string" && allowedTypes.has(payload.type);
  }

  window.addEventListener("message", (event) => {
    // 1) origin 정확 일치 검사
    if (!ALLOWED_ORIGINS.has(event.origin)) return;

    // 2) sender(window) 식별 검사(가능한 경우)
    if (expectedSource && event.source !== expectedSource) return;

    // 3) 데이터 검증 및 안전 처리
    const data =
      typeof event.data === "string"
        ? (() => {
            try {
              return JSON.parse(event.data);
            } catch {
              return null;
            }
          })()
        : event.data;

    if (!isValidPayload(data)) return;

    switch (data.type) {
      case "setTheme":
        if (
          typeof data.value === "string" &&
          /^(light|dark)$/.test(data.value)
        ) {
          document.documentElement.setAttribute("data-theme", data.value);
        }
        break;
      case "ping":
        // 필요 시 안전한 응답 전송: 정확한 targetOrigin 지정 필수
        event.source &&
          event.source.postMessage(
            JSON.stringify({ type: "pong" }),
            event.origin
          );
        break;
      default:
        // no-op
        break;
    }
  });
})();