Cocos eval 반려 관련 실제 탐지 파일/패턴 확인 요청

개발
1

이 글의 성격은 무엇인가요?

질문 / 문제 해결

내용을 설명해주세요

안녕하세요. 검수 반려 관련 문의드립니다.

개발 환경:

  • Cocos Creator
    appName: dungeonsartifacts

반려 사유:
eval과 같이 외부에서 코드를 받아와 실행 시킬 수 있는 코드는 보안 상 허용되지 않아요.

현재 프로젝트 소스와 빌드 산출물을 확인했지만, 직접 작성한 소스에서는 eval 사용 위치를 찾지 못했습니다.

확인 및 조치한 내용:

  1. Cocos Web-Mobile 빌드 산출물의 SystemJS 코드에서 확인된 (0,eval) 패턴은 제거했습니다.
  2. 제출 전 AIT 내부 검색 결과 (0,eval) 및 new Function은 0건으로 확인했습니다.
  3. 외부에서 JS를 로드하는 것으로 의심되는 써드파티/외부 SDK 관련 코드를 확인하여 제거 또는 수정했습니다.

다만 동일한 eval 관련 사유로 계속 반려되고 있습니다.

실제 보안 검수에서 탐지된 파일 경로와 코드 패턴을 확인해주실 수 있을까요?
현재 소스상에서는 eval을 찾을 수 없어 어느 부분을 수정해야 하는지 파악이 어렵습니다.

2

@kjkim 님 안녕하세요
직접 작성한 코드에 eval 함수가 없더라도 사용하신 오픈소스에 eval 함수가 포함되어있을 수 있습니다.
그럴 경우 자동 탐지되오니 참고 부탁드립니다.

3

안녕하세요.

확인해보니 직접 작성한 코드의 eval 문제가 아니라,
과거에 사용하던 외부 오픈소스 라이브러리 의존성이 남아 있어 자동 탐지된 것으로 보입니다.

처음에는 import와 호출부만 주석 처리했었는데,
관련 라이브러리 의존성 및 빌드 산출물까지 정리한 뒤 AIT를 다시 빌드하니 해결되었습니다.

안내 감사합니다.

4

고생많으셨습니다!!!