블로그 작업노트 29: 댓글 무차별 대입공격 방어 및 섬네일 추출 방식 변경

댓글 무차별 대입 공격 방어

public static $denyIP = [
    '000.000.000.000'
];

public static function isDeniedIP()
{
    return in_array(Request::ip(), self::$denyIP);
}Copy

if (Comment::isDeniedIP()) {
    return response('해당 IP에서는 댓글을 작성할 수 없습니다.', 403);
}Copy

public static function isTooFrequent(string $ip, int $threshold = 3, int $minutes = 5): bool
{
    return self::where('ip_address', $ip)
            ->where('created_at', '>=', now()->subMinutes($minutes))
            ->count() >= $threshold;
}Copy

public function addComment(Request $request, $id)
{
    if (Comment::isDeniedIP()) {
        return response('해당 IP에서는 댓글을 작성할 수 없습니다.', 403);
    }
    if (Comment::isTooFrequent($request->ip())) {
        return response('너무 잦은 댓글 등록으로 인해 잠시 후 다시 시도해주세요.', 429);
    }

    ....Copy

섬네일 추출 방식 변경

// `class="og_image"`가 포함된 이미지는 제외하고, `https://cdn.erulabo.com`로 시작하는 이미지 src만 추출
preg_match("/<img(?:(?!class=\"og_image\").)*?src=[\"'](https:\/\/cdn\.erulabo\.com[^\"]+)[\"'][^>]*>/i", $post->body, $images);
$post->image = $images[1] ?? null; // 매칭된 이미지 URL이 없으면 nullCopy

public function extractMainImage(): void
{
    if (!$this->body) {
        $this->image = null;
        return;
    }

    $dom = new \DOMDocument();
    libxml_use_internal_errors(true);
    $dom->loadHTML('<?xml encoding="UTF-8">' . $this->body);
    libxml_clear_errors();

    $imgs = $dom->getElementsByTagName('img');
    foreach ($imgs as $img) {
        $src = $img->getAttribute('src');
        $class = $img->getAttribute('class');
        if (!str_contains($class, 'og_image')) {
            $this->image = $src;
            return;
        }
    }

    $this->image = null;
}Copy

if ($request->input('use_image')) {
    $post->extractMainImage();
} else {
    $post->image = null;
}Copy