Parksy Audio 시스템 감사 보고서

Professional System Audit Report

감사 일시: 2026-01-20

감사 대상: Parksy Audio v1.0.0

감사자: Senior Software Architect / Security Auditor

1. Executive Summary (총평)

한 줄 평가

"MVP 수준의 기능 구현은 완료되었으나, 프로덕션 배포 전 보안 강화와 에러 처리 개선이 필요함"

2. 아키텍처 분석

2.1 시스템 구성도

┌─────────────────────────────────────────────────────────────┐
│                    Parksy Audio System                      │
├─────────────────────────────────────────────────────────────┤
│                                                             │
│  ┌─────────────┐    ┌─────────────┐    ┌─────────────┐     │
│  │  GitHub     │    │  Cloud Run  │    │   Flutter   │     │
│  │   Pages     │    │    API      │    │    APK      │     │
│  │  (Static)   │    │  (Python)   │    │  (Android)  │     │
│  └──────┬──────┘    └──────┬──────┘    └──────┬──────┘     │
│         │                  │                  │             │
│         ▼                  ▼                  ▼             │
│  ┌─────────────────────────────────────────────────────┐   │
│  │                   User Interface                     │   │
│  │   Landing Page ─── Secret Office ─── Mobile App     │   │
│  └─────────────────────────────────────────────────────┘   │
│                           │                                 │
│                           ▼                                 │
│  ┌─────────────────────────────────────────────────────┐   │
│  │                   Local Engine                       │   │
│  │              Python CLI (WD Passport)                │   │
│  └─────────────────────────────────────────────────────┘   │
│                                                             │
└─────────────────────────────────────────────────────────────┘

2.2 아키텍처 강점

2.3 아키텍처 약점

3. 코드 품질 분석

3.1 Server (FastAPI) - `server/app/main.py`

장점:

• 깔끔한 엔드포인트 구조
• CORS 설정 완료
• 파일 타입 검증 구현

문제점:

# 문제 1: 메모리 누수 위험 (Line 63-66)
with tempfile.NamedTemporaryFile(delete=False, suffix=ext) as tmp_input:
    content = await file.read()  # 대용량 파일 시 메모리 풀 사용
    tmp_input.write(content)
# 개선: 스트리밍 방식으로 변경 필요

# 문제 2: MIDI 파일 정리 누락 (Line 100-103)
finally:
    if 'input_path' in locals() and os.path.exists(input_path):
        os.unlink(input_path)
    # midi_path 정리 누락! 디스크 누적 가능

점수: 68/100

3.2 Flutter App - `app/lib/main.dart`

장점:

• Material 3 디자인 적용
• 일관된 테마 시스템
• 상태 관리 패턴 사용

문제점:

// 문제 1: 하드코딩된 Mock 데이터 (Line 355)
void _pickFile() {
  setState(() => _selectedFile = 'sample_audio.mp3');  // Mock!
  // 실제 file_picker 연동 필요
}

// 문제 2: 실제 API 호출 없음 (Line 477-497)
Future _convertToMidi() async {
  await Future.delayed(const Duration(seconds: 2));  // Fake!
  // 실제 HTTP 클라이언트 연동 필요
}

점수: 65/100 (UI만 구현, 실제 기능 미연동)

3.3 CLI Tool - `local-engine/parksy_audio/cli.py`

장점:

• Click 프레임워크 적절한 활용
• 명령어 구조 잘 설계됨
• 에러 핸들링 기본 구현

문제점:

# 문제 1: 예외 처리 범위 과도함 (Line 352)
except:  # Bare except - 안티패턴
    click.echo('MIDI API: ❌ Offline/Unreachable')
# 개선: except Exception as e: 로 변경

# 문제 2: 타입 힌트 없음
def run_ffmpeg(cmd, description="Processing"):  # -> Tuple[bool, Optional[str]]

점수: 75/100

3.4 Secret Office - `docs/office/index.html`

점수: 72/100

---

4. 보안 감사

4.1 Critical Issues (심각)

				ID	취약점	위치	위험도	설명
				SEC-001	**하드코딩 PIN**	office/index.html:283	🔴 심각	PIN이 소스코드에 평문 노출
				SEC-002	**클라이언트 인증**	office/index.html:290	🔴 심각	sessionStorage 우회 가능
				SEC-003	**CORS 와일드카드**	server/main.py:22	🟠 높음	`allow_origins=["*"]` 설정

4.2 SEC-001 상세 분석

// docs/office/index.html Line 283
const CORRECT_PIN = '1126';  // 누구나 소스보기로 확인 가능!

공격 시나리오:

1. 브라우저에서 F12 → Sources 탭

2. index.html 확인

3. PIN 값 즉시 노출

권장 조치:

• 서버 사이드 인증으로 변경
• 또는 환경 변수 + 빌드 타임 주입

4.3 SEC-002 상세 분석

// 우회 방법 (브라우저 콘솔에서)
sessionStorage.setItem('parksy_auth', 'true');
location.reload();
// → PIN 입력 없이 패널 접근 가능

4.4 SEC-003 상세 분석

# server/app/main.py Line 20-26
app.add_middleware(
    CORSMiddleware,
    allow_origins=["*"],  # 모든 도메인 허용 → CSRF 위험
    allow_credentials=True,
    allow_methods=["*"],
    allow_headers=["*"],
)

권장 설정:

allow_origins=["https://dtslib1979.github.io", "http://localhost:*"]

4.5 Medium Issues (중간)

			ID	취약점	위치	설명
			SEC-004	파일 크기 제한 없음	server/main.py:64	DoS 공격 가능
			SEC-005	Rate Limiting 없음	server/main.py	API 남용 가능
			SEC-006	에러 메시지 노출	server/main.py:98	내부 정보 유출

4.6 보안 점수: 58/100

---

5. 성능 분석

5.1 API 성능 테스트 결과

			테스트	파일 크기	응답 시간	결과
			작은 파일	1 MB	~30초	✅ Pass
			중간 파일	8.7 MB	~130초	✅ Pass
			대용량 파일	50 MB	추정 10분+	⚠️ Timeout 위험

5.2 병목 지점

1. TensorFlow 모델 로딩: 콜드 스타트 시 15-30초

2. basic-pitch 변환: CPU 바운드, 파일 길이에 비례

3. Cloud Run 메모리: 2GB 설정, 대용량 처리 한계

5.3 확장성 평가

		항목	현재	확장 시
		동시 요청	1-5개	Cloud Run 자동 스케일링
		파일 저장	임시 디스크	GCS 버킷 필요
		처리 큐	없음	Cloud Tasks 필요

점수: 75/100

---

6. 프로덕션 준비도 체크리스트

6.1 필수 항목

		항목	상태	비고
		✅ HTTPS 적용	완료	GitHub Pages, Cloud Run 자동
		✅ 도메인 설정	완료	dtslib1979.github.io
		✅ 기본 에러 처리	완료	try-catch 구현
		❌ 로깅 시스템	미완료	Cloud Logging 연동 필요
		❌ 모니터링	미완료	Uptime Check 필요
		❌ 백업 전략	미완료	상태 없는 서비스라 낮은 우선순위

6.2 권장 항목

		항목	상태	비고
		❌ CI/CD 파이프라인	부분 완료	APK 빌드만 자동화
		❌ 테스트 코드	미완료	단위/통합 테스트 없음
		❌ API 문서화	미완료	OpenAPI/Swagger 없음
		✅ 사용자 매뉴얼	완료	MANUAL.md

점수: 68/100

---

7. 개선 권고사항

7.1 즉시 조치 (P0 - Critical)

		우선순위	항목	예상 공수
		1	PIN 인증을 서버사이드로 이동	4시간
		2	CORS 화이트리스트 설정	30분
		3	파일 크기 제한 추가 (50MB)	1시간
		4	Rate Limiting 적용	2시간

7.2 단기 개선 (P1 - High)

		우선순위	항목	예상 공수
		5	Flutter 앱 실제 API 연동	8시간
		6	에러 메시지 사용자 친화적으로	2시간
		7	Cloud Logging 연동	2시간
		8	임시 파일 정리 로직 보완	1시간

7.3 중기 개선 (P2 - Medium)

		우선순위	항목	예상 공수
		9	단위 테스트 작성	16시간
		10	Swagger/OpenAPI 문서화	4시간
		11	작업 큐 시스템 도입	16시간
		12	진행률 표시 기능	8시간

---

8. 결론

8.1 강점

• 빠른 프로토타이핑으로 MVP 완성
• 마이크로서비스 아키텍처 적용
• 오프라인/온라인 하이브리드 지원
• 일관된 UI/UX 디자인

8.2 약점

• 보안 취약점 다수 존재
• 실제 기능 연동 미완료 (Flutter)
• 모니터링/로깅 부재
• 테스트 코드 없음

8.3 최종 권고

현재 상태: MVP/Demo 수준
프로덕션 배포: 보안 이슈 해결 후 가능
상용 서비스: 추가 개발 필요 (예상 2-4주)

8.4 점수 요약

		카테고리	점수	비고
		아키텍처	78/100	설계는 양호
		코드 품질	70/100	리팩토링 필요
		보안	58/100	**즉시 개선 필요**
		성능	75/100	기본 사용 충분
		프로덕션	68/100	추가 작업 필요
		**종합**	**72/100**	**B+**

---

보고서 작성: Senior Software Architect

검토일: 2026-01-20

다음 검토: 보안 이슈 수정 후

← Back to Document Library · PARKSY Audio