ContextualWisdomLab · seonghobae · Jul 30, 2026 · coderabbitai · Jul 30, 2026
diff --git a/.jules/sentinel.md b/.jules/sentinel.md
@@ -83,3 +83,8 @@
 **Vulnerability:** 정적 HTML 생성 도구에서 매번 다른 Nonce를 동적으로 생성하여 CSP에 적용하는 것은, 캐싱 효율을 저하시킬 뿐만 아니라 정적 배포 환경(예: GitHub Pages 등)에서 올바른 보안 정책 수립을 방해할 수 있는 안티 패턴입니다.
 **Learning:** 정적으로 고정된 인라인 스타일이나 스크립트에는 난수화된 Nonce보다 콘텐츠 자체의 해시(SHA-256 등)를 사용하는 것이 안전하고 일관된 방식임을 배웠습니다.
 **Prevention:** 자동 생성되는 정적 HTML의 콘텐츠 보안 정책(CSP)에는 `style-src 'sha256-<HASH>'` 방식을 적용하고, `<style>` 태그에서 불필요한 `nonce` 속성을 제거하여 브라우저의 무결성 검증 기능을 적극 활용하십시오.
+
+## 2026-07-30 - [MEDIUM] Kotlin 다중행 문자열 형식의 공백으로 인한 CSP 스타일 해시 불일치 보안 문제 수정
+**Vulnerability:** 인라인 스타일 CSP (Content-Security-Policy) 우회 가능성
+**Learning:** 브라우저는 인라인 스크립트와 스타일의 내부 텍스트 전체(공백 포함)를 기반으로 CSP 해시를 계산합니다. Kotlin의 다중행 문자열(`\"\"\"`)을 사용하여 콘텐츠를 주입할 때, 앞뒤의 들여쓰기나 새 줄과 같은 암시적 공백이 최종 출력 문자열을 변경시켜 실제 생성된 해시와 브라우저가 인식하는 해시 간에 불일치를 발생시킬 수 있습니다. 이로 인해 브라우저가 의도한 보안 스타일이나 스크립트를 거부하거나 CSP가 제대로 동작하지 않게 됩니다.
+**Prevention:** 정적으로 고정된 스타일이나 스크립트 내용을 다중행 문자열로 정의할 때 반드시 `.trimIndent()`를 적용하여 암묵적인 들여쓰기를 제거하십시오. 또한 HTML 내에 이를 주입할 때 불필요한 패딩이 추가되지 않도록 태그 안에 정확히 주입(예: `<style>${exactStyleContent}</style>`)하여 완벽한 해시 일치를 보장해야 합니다.
diff --git a/src/main/kotlin/html4tree/main.kt b/src/main/kotlin/html4tree/main.kt
@@ -308,14 +308,11 @@ fun process_dir(curr_dir: File, excludeSet: Set<String>? = null, dirFiles: Array
                 opacity: 0.7;
                 font-style: italic;
               }
-              """
+              """.trimIndent()
 
     val styleHash = "sha256-" + Base64.getEncoder().encodeToString(MessageDigest.getInstance("SHA-256").digest(cssContent.toByteArray(Charsets.UTF_8)))
 
-    val css = """
-              <style>
-${cssContent}              </style>
-              """
+    val css = "<style>${cssContent}</style>"
 
     val index_top = """<!doctype html>
 <html lang="ko">