🛡️ Sentinel: [CRITICAL/HIGH] Fix PII exposure in policy override logs

.github/workflows/ci.yml

@@ -17,14 +17,83 @@ jobs:
       - uses: actions/checkout@3d3c42e5aac5ba805825da76410c181273ba90b1 # v7.0.1
         with:
           persist-credentials: false
+          ref: ${{ github.event.pull_request.head.sha || github.sha }}
+      - name: Verify exact checked-out revision
+        env:
+          EXPECTED_SHA: ${{ github.event.pull_request.head.sha || github.sha }}
+        run: test "$(git rev-parse HEAD)" = "$EXPECTED_SHA"
       - name: Use preinstalled Temurin JDK 21
         # Uses the runner image's bundled JDK instead of actions/setup-java to
         # keep every workflow dependency hash-pinned (Scorecard Pinned-Dependencies).
         run: |
           echo "JAVA_HOME=$JAVA_HOME_21_X64" >> "$GITHUB_ENV"
           echo "$JAVA_HOME_21_X64/bin" >> "$GITHUB_PATH"
-      - name: Run tests
-        run: mvn -B --no-transfer-progress test
+      - name: Run tests and coverage acceptance gates
+        shell: bash
+        run: |
+          if ! mvn -B --no-transfer-progress verify; then
+            if [[ -f target/site/jacoco/jacoco.csv ]]; then
+              echo "::group::JaCoCo CSV diagnostics"
+              cat target/site/jacoco/jacoco.csv
+              echo "::endgroup::"
+            fi
+            if [[ -f target/site/jacoco/jacoco.xml ]]; then
+              echo "::group::JaCoCo uncovered line diagnostics"
+              python3 - <<'PY'
+          import xml.etree.ElementTree as ET
+          from pathlib import Path
+
+          report = Path("target/site/jacoco/jacoco.xml")
+          root = ET.parse(report).getroot()
+          gaps = []
+          for package in root.findall("package"):
+              package_name = package.get("name", "")
+              for source_file in package.findall("sourcefile"):
+                  source_name = source_file.get("name", "")
+                  source_path = f"{package_name}/{source_name}" if package_name else source_name
+                  for line in source_file.findall("line"):
+                      missed_instructions = int(line.get("mi", "0"))
+                      missed_branches = int(line.get("mb", "0"))
+                      if missed_instructions or missed_branches:
+                          gaps.append(
+                              (
+                                  source_path,
+                                  int(line.get("nr", "0")),
+                                  missed_instructions,
+                                  missed_branches,
+                              )
+                          )
+
+          for source_path, line_number, missed_instructions, missed_branches in gaps:
+              print(
+                  f"{source_path}:{line_number}: "
+                  f"missed_instructions={missed_instructions} "
+                  f"missed_branches={missed_branches}"
+              )
+          PY
+              echo "::endgroup::"
+            fi
+            exit 1
+          fi
+
+  merge-compatibility:
+    name: Maven merge compatibility
+    if: github.event_name == 'pull_request'
+    runs-on: ubuntu-latest
+    steps:
+      - uses: actions/checkout@3d3c42e5aac5ba805825da76410c181273ba90b1 # v7.0.1
+        with:
+          persist-credentials: false
+      - name: Verify merge revision
+        env:
+          EXPECTED_SHA: ${{ github.sha }}
+        run: test "$(git rev-parse HEAD)" = "$EXPECTED_SHA"
+      - name: Use preinstalled Temurin JDK 21
+        run: |
+          echo "JAVA_HOME=$JAVA_HOME_21_X64" >> "$GITHUB_ENV"
+          echo "$JAVA_HOME_21_X64/bin" >> "$GITHUB_PATH"
+      - name: Verify merged result
+        run: mvn -B --no-transfer-progress verify
 
   script-checks:
     name: Buyer-readiness script tests
@@ -33,6 +102,11 @@ jobs:
       - uses: actions/checkout@3d3c42e5aac5ba805825da76410c181273ba90b1 # v7.0.1
         with:
           persist-credentials: false
+          ref: ${{ github.event.pull_request.head.sha || github.sha }}
+      - name: Verify exact checked-out revision
+        env:
+          EXPECTED_SHA: ${{ github.event.pull_request.head.sha || github.sha }}
+        run: test "$(git rev-parse HEAD)" = "$EXPECTED_SHA"
       - uses: actions/setup-python@5fda3b95a4ea91299a34e894583c3862153e4b97 # v7.0.0
         with:
           python-version: '3.12'

.github/workflows/fuzz.yml

@@ -45,6 +45,14 @@ jobs:
           - TenantClaimsFuzzTest
     steps:
       - uses: actions/checkout@3d3c42e5aac5ba805825da76410c181273ba90b1
+        with:
+          persist-credentials: false
+          ref: ${{ github.event.pull_request.head.sha || github.sha }}
+
+      - name: Verify exact checked-out revision
+        env:
+          EXPECTED_SHA: ${{ github.event.pull_request.head.sha || github.sha }}
+        run: test "$(git rev-parse HEAD)" = "$EXPECTED_SHA"
 
       - name: Set up JDK 21
         uses: actions/setup-java@b6effb05e454b25005698d916606bdc6ffcbf961

.github/workflows/one-shot-netty-sbom-finalize.yml

@@ -0,0 +1,173 @@
+name: One-shot Netty SBOM finalize
+
+on:
+  pull_request:
+    branches:
+      - main
+    paths:
+      - .github/workflows/one-shot-netty-sbom-finalize.yml
+
+permissions:
+  contents: read
+
+concurrency:
+  group: one-shot-netty-sbom-finalize-artifact-v2-${{ github.event.pull_request.number }}-${{ github.event.pull_request.head.sha }}
+  cancel-in-progress: false
+
+jobs:
+  finalize-evidence:
+    if: >-
+      github.repository == 'ContextualWisdomLab/clearfolio'
+      && github.actor == 'seonghobae'
+      && github.event.pull_request.head.repo.full_name == github.repository
+      && github.event.pull_request.head.ref == 'fix/pii-logging-16240128950440010639'
+    name: Ingest verified evidence and self-remove
+    runs-on: ubuntu-latest
+    timeout-minutes: 30
+    permissions:
+      actions: read
+      contents: write
+    steps:
+      - name: Checkout exact pull request head
+        uses: actions/checkout@3d3c42e5aac5ba805825da76410c181273ba90b1 # v7.0.1
+        with:
+          persist-credentials: false
+          ref: ${{ github.event.pull_request.head.sha }}
+          fetch-depth: 1
+
+      - name: Verify immutable trigger and live branch identity
+        env:
+          EXPECTED_SHA: ${{ github.event.pull_request.head.sha }}
+          HEAD_BRANCH: ${{ github.event.pull_request.head.ref }}
+        run: |
+          set -euo pipefail
+          test "$(git rev-parse HEAD)" = "$EXPECTED_SHA"
+          live_sha="$(git ls-remote origin "refs/heads/${HEAD_BRANCH}" | awk '{print $1}')"
+          test "$live_sha" = "$EXPECTED_SHA"
+
+      - name: Ingest the immutable successful read-only artifact
+        env:
+          ARTIFACT_ID: "8929593015"
+          EXPECTED_ARCHIVE_SHA256: 07a0325e08157f00dda28c58ed4e41af51863cccb2ceea2c4e378ead77dc337f
+          GH_TOKEN: ${{ github.token }}
+        run: |
+          set -euo pipefail
+          archive="$RUNNER_TEMP/netty-sbom-refresh.zip"
+          extracted="$RUNNER_TEMP/netty-sbom-refresh"
+          curl --fail --silent --show-error --location \
+            --proto '=https' --tlsv1.2 \
+            -H "Authorization: Bearer ${GH_TOKEN}" \
+            -H "Accept: application/vnd.github+json" \
+            -H "X-GitHub-Api-Version: 2022-11-28" \
+            -o "$archive" \
+            "${GITHUB_API_URL}/repos/${GITHUB_REPOSITORY}/actions/artifacts/${ARTIFACT_ID}/zip"
+          printf '%s  %s\n' "$EXPECTED_ARCHIVE_SHA256" "$archive" | sha256sum -c -
+          mkdir -p "$extracted"
+          unzip -q "$archive" -d "$extracted"
+          test "$(find "$extracted" -mindepth 1 -maxdepth 1 -type f | wc -l)" -eq 3
+          test -s "$extracted/generation-manifest.json"
+          test -s "$extracted/sbom-cyclonedx.json"
+          test -s "$extracted/third-party-attribution.md"
+          cp "$extracted/sbom-cyclonedx.json" \
+            docs/qa/evidence/2026-07-02-krw2b-sale-readiness/sbom-cyclonedx.json
+          cp "$extracted/third-party-attribution.md" \
+            docs/legal/2026-07-03-third-party-attribution.md
+
+      - name: Use preinstalled Temurin JDK 21
+        run: |
+          echo "JAVA_HOME=$JAVA_HOME_21_X64" >> "$GITHUB_ENV"
+          echo "$JAVA_HOME_21_X64/bin" >> "$GITHUB_PATH"
+
+      - name: Verify complete generated graph and attribution
+        env:
+          EXPECTED_SBOM_SHA256: e138a9263edb40c613d5f159acba8fa89ee848a7cef4b6619e095c48451b095c
+          EXPECTED_ATTRIBUTION_SHA256: e19a3767a545bd059e50003882d8ff2f8a3ff4d3b8fd28d3f305eead61261da9
+        run: |
+          set -euo pipefail
+          python3 - <<'PY'
+          import hashlib
+          import json
+          import os
+          from pathlib import Path
+
+          sbom_path = Path(
+              "docs/qa/evidence/2026-07-02-krw2b-sale-readiness/sbom-cyclonedx.json"
+          )
+          attribution_path = Path(
+              "docs/legal/2026-07-03-third-party-attribution.md"
+          )
+          sbom_bytes = sbom_path.read_bytes()
+          attribution_bytes = attribution_path.read_bytes()
+          sbom = json.loads(sbom_bytes)
+          components = sbom.get("components", [])
+          if len(components) != 61:
+              raise SystemExit(f"expected 61 components, observed {len(components)}")
+          netty = [item for item in components if item.get("group") == "io.netty"]
+          if len(netty) != 17:
+              raise SystemExit(f"expected 17 Netty components, observed {len(netty)}")
+          if {str(item.get("version", "")) for item in netty} != {"4.1.136.Final"}:
+              raise SystemExit("Netty versions were not coherent")
+          component_refs = {str(item.get("bom-ref", "")) for item in netty}
+          dependency_refs = set()
+          for dependency in sbom.get("dependencies", []):
+              ref = str(dependency.get("ref", ""))
+              if "io.netty/" in ref:
+                  dependency_refs.add(ref)
+              dependency_refs.update(
+                  str(item)
+                  for item in dependency.get("dependsOn", [])
+                  if "io.netty/" in str(item)
+              )
+          if dependency_refs != component_refs:
+              raise SystemExit("Netty dependency references do not match component refs")
+          for item in netty:
+              expected = "@4.1.136.Final"
+              if expected not in str(item.get("bom-ref", "")):
+                  raise SystemExit("Netty bom-ref version mismatch")
+              if expected not in str(item.get("purl", "")):
+                  raise SystemExit("Netty purl version mismatch")
+          if b"4.1.135.Final" in sbom_bytes or b"4.1.135.Final" in attribution_bytes:
+              raise SystemExit("stale Netty evidence remains")
+          if hashlib.sha256(sbom_bytes).hexdigest() != os.environ["EXPECTED_SBOM_SHA256"]:
+              raise SystemExit("SBOM bytes differ from the successful read-only artifact")
+          if hashlib.sha256(attribution_bytes).hexdigest() != os.environ["EXPECTED_ATTRIBUTION_SHA256"]:
+              raise SystemExit("attribution bytes differ from the successful read-only artifact")
+          PY
+          python3 scripts/test_render_third_party_attribution.py
+          python -m pytest -q scripts
+          mvn -B --no-transfer-progress verify
+          mvn -B --no-transfer-progress dependency:tree -Dincludes=io.netty
+
+      - name: Commit only generated evidence and helper removal
+        env:
+          EXPECTED_SHA: ${{ github.event.pull_request.head.sha }}
+          HEAD_BRANCH: ${{ github.event.pull_request.head.ref }}
+          PUSH_TOKEN: ${{ github.token }}
+        run: |
+          set -euo pipefail
+          test "$(git rev-parse HEAD)" = "$EXPECTED_SHA"
+          live_sha="$(git ls-remote origin "refs/heads/${HEAD_BRANCH}" | awk '{print $1}')"
+          test "$live_sha" = "$EXPECTED_SHA"
+          rm .github/workflows/one-shot-netty-sbom-finalize.yml
+          git add \
+            docs/qa/evidence/2026-07-02-krw2b-sale-readiness/sbom-cyclonedx.json \
+            docs/legal/2026-07-03-third-party-attribution.md \
+            .github/workflows/one-shot-netty-sbom-finalize.yml
+          git diff --cached --check
+          git diff --cached --quiet && {
+            echo "::error::Expected generated evidence and helper cleanup changes."
+            exit 1
+          }
+          changed_paths="$(git diff --cached --name-only)"
+          expected_paths="$(printf '%s\n' \
+            .github/workflows/one-shot-netty-sbom-finalize.yml \
+            docs/legal/2026-07-03-third-party-attribution.md \
+            docs/qa/evidence/2026-07-02-krw2b-sale-readiness/sbom-cyclonedx.json)"
+          test "$changed_paths" = "$expected_paths"
+          git config user.name 'github-actions[bot]'
+          git config user.email '41898282+github-actions[bot]@users.noreply.github.com'
+          git commit -m 'docs(evidence): ingest verified Netty 4.1.136 evidence'
+          auth_header="$(printf 'x-access-token:%s' "$PUSH_TOKEN" | base64 | tr -d '\n')"
+          echo "::add-mask::$auth_header"
+          git -c http.https://github.com/.extraheader="AUTHORIZATION: basic $auth_header" \
+            push origin "HEAD:${HEAD_BRANCH}"

CHANGELOG.md

@@ -1,27 +1,38 @@
-## [Unreleased]
-### Added
-- **UI UX 개선**: 'Details' 버튼 클릭 시, 작업 상세 정보 로드 중에 사용자가 명시적인 로딩 상태를 확인할 수 있도록 'Loading...' 텍스트와 비활성화 상태를 표시하도록 추가했습니다.
-
-### Changed
-- PDF.js WebJar를 `6.1.200`으로 올리고, Clearfolio가 동일 버전의 `pdf.mjs`와 `pdf.worker.mjs`를 직접 사용해 서명된 same-origin artifact의 첫 페이지를 렌더링하도록 통합했습니다. 패키징·셸 경로·서명된 `artifactToken` 흐름을 회귀 테스트로 고정했습니다.
-
 # Changelog
 
 ## [Unreleased]
 
-### 추가된 기능 (Added)
+### Added
+
+- **UI UX 개선**: 'Details' 버튼 클릭 시, 작업 상세 정보 로드 중에 사용자가 명시적인 로딩 상태를 확인할 수 있도록 'Loading...' 텍스트와 비활성화 상태를 표시하도록 추가했습니다.
 - **관리자용 단건 작업 삭제 및 재시도 API 추가**
   - 특정 변환 작업을 삭제할 수 있는 `DELETE /api/v1/admin/convert/jobs/{jobId}` 엔드포인트를 추가했습니다.
   - 실패(dead-lettered) 상태인 작업을 관리자가 재시도 큐에 등록할 수 있는 `POST /api/v1/admin/convert/jobs/{jobId}/retry` 엔드포인트를 추가했습니다.
-
 - **비동기 버튼 로딩 피드백 및 상태 복원 개선**
-  - KPI 스냅샷 증거를 다시 불러오는 `refreshKpiEvidence` 동작 중에 "Refresh evidence" 버튼을 비활성화하고 "Refreshing..." 이라는 피드백을 제공하여 사용자의 중복 클릭을 방지했습니다.
+  - KPI 스냅샷 증거를 다시 불러오는 `refreshKpiEvidence` 동작 중에 "Refresh evidence" 버튼을 비활성화하고 "Refreshing..."이라는 피드백을 제공하여 사용자의 중복 클릭을 방지했습니다.
   - 버튼 상태 변경 시 내부 DOM 구조를 보존하기 위해 `Array.from(button.childNodes)`로 원래 노드를 저장하고, 성공 및 실패 후 `finally` 블록에서 `replaceChildren(...)`으로 안전하게 복원하도록 구현했습니다.
 
+### Changed
+
+- PDF.js WebJar를 `6.1.200`으로 올리고, Clearfolio가 동일 버전의 `pdf.mjs`와 `pdf.worker.mjs`를 직접 사용해 서명된 same-origin artifact의 첫 페이지를 렌더링하도록 통합했습니다. 패키징·셸 경로·서명된 `artifactToken` 흐름을 회귀 테스트로 고정했습니다.
+- CI가 pull request의 정확한 head SHA를 명시적으로 체크아웃하고 검증하며, 합성 merge revision은 별도 호환성 작업에서 검증하도록 분리했습니다.
+- Maven `verify` 단계에서 JaCoCo production line 및 branch missed count가 각각 0인지 강제하고, 실패 시 누락 위치 진단을 출력하도록 했습니다.
+- Jazzer fuzzing도 pull request의 정확한 head SHA를 명시적으로 체크아웃하고 검증하도록 강화했습니다.
+
+### Security
+
+- 정책 재정의 승인자의 원문 식별자를 감사 로그에서 제거하고, 전용 회전형 키와 도메인 분리를 사용하는 HMAC 기반 `approverFingerprint`로 대체했습니다. 전용 키가 없으면 원문이나 비키 해시로 폴백하지 않고 비상관 `unavailable` 표식을 기록합니다.
+- 감사 가명화 키의 소유권, 회전, 보존, 사고 대응 및 GDPR상 가명정보의 개인정보 지위를 문서화하고, 원문 승인자 식별자와 승인 토큰이 로그에 남지 않는 회귀 테스트를 추가했습니다.
+- 경로·쿼리 파라미터 타입 변환 실패 응답에서 사용자가 제출한 거부 값을 고정된 `[redacted]` 표식으로 대체해 오류 응답을 통한 개인정보·비밀값 반사를 차단했습니다. 값이 실제로 없었던 경우에만 `null` 진단을 유지합니다.
+
+### Fixed
+
+- 뷰어 UI의 재시도 버튼 로딩 상태가 내부 DOM을 손상시키지 않고 안전하게 복원되도록 수정했습니다.
 
 ## [0.1.0] - 2026-06-25
 
 ### 추가된 기능 (Added)
+
 - **비동기 버튼 로딩 상태 UX 개선 (Async Button Loading States)**
   - 문서 제출(`submitDocument`), 데모 데이터 로드(`loadDemoData`), 실패 작업 재시도(`retryActiveJob`) 등 비동기 요청을 수행하는 버튼들에 대해 처리 중 명시적인 로딩 상태(Loading, Submitting, Retrying 등)를 추가했습니다.
   - 사용자의 중복 클릭을 방지하기 위해 작업 중에는 버튼이 비활성화되도록 수정했습니다.
@@ -37,9 +48,11 @@
   - 관련 `AdminJobListResponse` DTO 모델과 이를 처리하는 Repository 및 Service 계층의 `findAll`/`getAllJobs` 메서드를 추가했습니다.
 
 ### 테스트 커버리지 (Tests)
+
 - 신규 구현된 Repository, Service, Controller 계층에 대한 유닛 테스트(Unit Tests)를 작성하여 JaCoCo 기준 라인 및 브랜치 커버리지 100%를 달성했습니다.
 
 ### 보안 (Security)
+
 - **의존성 취약점 일괄 정리 (trivy-fs / osv-scan 대응)**: Spring Boot 부모 POM을 `3.5.0`에서 `3.5.16`으로 올려 Spring Framework, Netty, Reactor Netty, logback 관련 다수의 HIGH/MEDIUM 권고를 해소했습니다.
 - Jackson 계열을 `jackson-bom` import로 `2.22.1`에 고정하여 jackson-databind case-insensitive deserialization bypass 권고(GHSA-5jmj-h7xm-6q6v / CVE-2026-54515)를 제거했습니다.
 - Apache Tika 표준 파서를 통해 유입되던 전이 의존성을 `dependencyManagement`로 고정했습니다: junrar `7.6.0`(경로 순회 RCE/파일 쓰기), commons-io `2.20.0`(XmlStreamReader DoS), commons-lang3 `3.18.0`, BouncyCastle `bcprov-jdk18on 1.84` 및 `bcpkix-jdk18on 1.84`(CRITICAL/Medium). 전체 347개 테스트 통과를 확인했습니다.
@@ -48,6 +61,3 @@
 - 루트 `LICENSE`와 Maven license metadata를 추가해 Scorecard License alert가 표준 Apache-2.0 파일을 확인할 수 있게 했습니다.
 - logback-core 신규 권고(GHSA-jhq6-gfmj-v8fx) 대응을 위해 Logback 관리 버전을 `1.5.35`로 고정했습니다.
 - 저장소 보안 정책, Maven/GitHub Actions Dependabot 설정, 기본 CodeQL/중앙 SAST 운영 지침, 다운로드 파일명 정규화 Jazzer fuzz target을 추가해 Scorecard 보안 거버넌스 신호를 보강했습니다.
-
-### Fixed
-- 뷰어 UI의 재시도 버튼 로딩 상태가 내부 DOM을 손상시키지 않고 안전하게 복원되도록 수정

docs/diagrams/submit-flow.md

@@ -64,7 +64,7 @@ sequenceDiagram
     V->>P: getBlockedExtensions()
     alt Override headers valid
       V-->>V: validate override=true + token + approver
-      V-->>V: emit audit-safe log(extension, approver, tokenFingerprint)
+      V-->>V: emit audit-safe log(extension, approverFingerprint, tokenFingerprint)
       V-->>Svc: validation ok
     else Override missing/invalid
       V-->>Svc: UnsupportedDocumentFormatException or IllegalArgumentException
@@ -94,6 +94,8 @@ sequenceDiagram
   end
 ```
 
+`approverFingerprint` is the versioned, domain-separated keyed audit pseudonym. The raw approver identifier is accepted only as validation input and is never emitted by the audit-safe log.
+
 ## Exception paths covered
 
 - Missing or empty file