ContextualWisdomLab · seonghobae · Jul 26, 2026
diff --git a/.jules/sentinel.md b/.jules/sentinel.md
@@ -83,3 +83,8 @@
 **Vulnerability:** 정적 HTML 생성 도구에서 매번 다른 Nonce를 동적으로 생성하여 CSP에 적용하는 것은, 캐싱 효율을 저하시킬 뿐만 아니라 정적 배포 환경(예: GitHub Pages 등)에서 올바른 보안 정책 수립을 방해할 수 있는 안티 패턴입니다.
 **Learning:** 정적으로 고정된 인라인 스타일이나 스크립트에는 난수화된 Nonce보다 콘텐츠 자체의 해시(SHA-256 등)를 사용하는 것이 안전하고 일관된 방식임을 배웠습니다.
 **Prevention:** 자동 생성되는 정적 HTML의 콘텐츠 보안 정책(CSP)에는 `style-src 'sha256-<HASH>'` 방식을 적용하고, `<style>` 태그에서 불필요한 `nonce` 속성을 제거하여 브라우저의 무결성 검증 기능을 적극 활용하십시오.
+
+## 2024-07-26 - [html4tree] CSP Hash Mismatch in Multiline String Injection
+**Vulnerability:** 정적 리소스용 CSP 생성 시 해시 불일치로 인한 스타일 차단 및 잠재적인 XSS 방어 우회.
+**Learning:** Kotlin에서 다중 줄 문자열(multiline string)로 구성된 콘텐츠(예: CSS)를 HTML 템플릿의 `<style>` 태그와 결합할 때, 양 옆에 삽입된 공백과 줄바꿈은 CSP 해시 연산 시 제외되지만 실제 브라우저가 파싱하는 텍스트에는 포함되어 해시 불일치를 야기합니다.
+**Prevention:** 템플릿에 삽입할 콘텐츠에는 항상 `.trimIndent()`를 적용하여 선행/후행 공백 및 줄바꿈을 완벽히 제거하고, 주입 시 `<style>${content}</style>`와 같이 추가 공백 없이 결합하여 해시의 원본 콘텐츠와 브라우저가 보는 텍스트를 정확하게 동기화해야 합니다.
diff --git a/src/main/kotlin/html4tree/main.kt b/src/main/kotlin/html4tree/main.kt
@@ -310,12 +310,10 @@ fun process_dir(curr_dir: File, excludeSet: Set<String>? = null, dirFiles: Array
               }
               """
 
-    val styleHash = "sha256-" + Base64.getEncoder().encodeToString(MessageDigest.getInstance("SHA-256").digest(cssContent.toByteArray(Charsets.UTF_8)))
+    val exactStyleContent = cssContent.trimIndent()
+    val styleHash = "sha256-" + Base64.getEncoder().encodeToString(MessageDigest.getInstance("SHA-256").digest(exactStyleContent.toByteArray(Charsets.UTF_8)))
 
-    val css = """
-              <style>
-${cssContent}              </style>
-              """
+    val css = "<style>${exactStyleContent}</style>"
 
     val index_top = """<!doctype html>
 <html lang="ko">