fix(web): P66 follow-up — Gemini PR #75 security/a11y 리뷰 반영

[hang-in]

Summary

Gemini PR #75 리뷰의 보안 / 접근성 finding 3건 반영.

Finding	분류	처리
rehype-raw XSS 위험	HIGH security	rehype-sanitize 중간 단계 추가
@ungap/structured-clone@1.3.0 CWE-502	HIGH security	pnpm overrides → 1.3.1+
heading collapse onKeyDown 누락	MEDIUM a11y	Enter/Space 핸들러 추가
heading collapse DOM 직접 조작	MEDIUM	별도 plan (state-driven 재설계)

sanitize schema

defaultSchema 베이스에:

• <details> / <summary> 태그 허용 (폴딩 동작)
• highlight.js 의 className (hljs-*, language-*) 허용 (syntax highlight)
• 그 외 script/style/event handler 등은 default 가 차단

Test plan

• pnpm typecheck
• pnpm build
• CI 통과
• (수동) <script> 태그가 포함된 md 렌더링 시 차단되는지 확인

미해결 (별도 plan)

CollapsibleHeading 의 DOM 직접 조작 (nextElementSibling + style.display) → AST 분석 후 state 기반 재설계가 필요. web-backlog 항목으로.

🤖 Generated with Claude Code

[gemini-code-assist]

Code Review

This pull request enhances security and accessibility in the Markdown rendering component. Key changes include the integration of rehype-sanitize with a custom schema to prevent XSS while maintaining support for syntax highlighting and collapsible elements, and a dependency override for @ungap/structured-clone to address a security vulnerability. Accessibility is improved by adding keyboard support to collapsible headings. Feedback suggests refining the onKeyDown handler to prevent blocking interactions with nested links or code blocks and updating the sanitization schema to permit the open attribute on details tags.

[gemini-code-assist]

onKeyDown 핸들러에서 e.preventDefault()를 호출하기 전에 이벤트 타겟이 링크(<a>)나 코드 블록(<code>)인지 확인하는 로직이 누락되었습니다. 이로 인해 헤딩 내부의 링크를 키보드(Enter 키)로 클릭할 때 preventDefault()가 먼저 실행되어 링크 이동이 작동하지 않게 됩니다. onClick 핸들러와 동일하게 타겟을 체크하여 조기에 반환하도록 수정이 필요합니다.

  const onKeyDown = (e: KeyboardEvent<HTMLElement>) => {
    if (e.key === "Enter" || e.key === " ") {
      const target = e.target as HTMLElement;
      if (target.closest("a") || target.closest("code")) return;

      e.preventDefault();
      onClick(e as unknown as MouseEvent<HTMLElement>);
    }
  };

[gemini-code-assist]

rehype-sanitize 스키마에 details 태그의 open 속성을 허용하는 설정이 누락되었습니다. 마크다운 내에 <details open>과 같이 초기 상태가 지정된 경우나, 브라우저의 기본 동작으로 open 속성이 변경될 때 스키마에서 이를 허용하지 않으면 의도치 않게 속성이 제거될 수 있습니다.

      attributes: {
        ...(defaultSchema.attributes ?? {}),
        details: ["open"],
        code: [
          ...((defaultSchema.attributes ?? {}).code ?? []),
          ["className", /^language-/, /^hljs/],
        ],
        span: [
          ...((defaultSchema.attributes ?? {}).span ?? []),
          ["className", /^hljs-/],
        ],
      },