비공개 시험 SVG의 정적 경로 노출 방지: 인증 라우트와 산출물 분리

const publicRoot = path.join(root, 'apps/frontend/public');
// 개별 자료의 공개 경로 값은 생략했습니다.

export const PRACTICAL_REDRAWN_IMAGES = Object.freeze({
  // 개별 자료의 경로와 해시 값은 생략했습니다.
  // 나머지 매핑 생략
});

if (fs.existsSync(path.join(publicRoot, legacy.slice(1)))) throw Error(`Private diagram is public: ${legacy}`);
const hash = crypto.createHash('sha256').update(data).digest('hex');
const url = `/api/private-diagrams/${inventory.scope}/${hash}.svg`;
if (inventory.scope === 'skct') diagrams[url] = { scope: inventory.scope, svg };

export const PRACTICAL_REDRAWN_IMAGES = Object.freeze({
  // 개별 자료의 경로와 해시 값은 생략했습니다.
  // 나머지 매핑 생략
});

export const GET = (request: Request) => withSiteIdentity(request, authenticated =>
  withApiErrorBoundary(authenticated, () => handleGet(authenticated), failure));

const retiredIpe = url.pathname.startsWith('/api/private-diagrams/ipe/');
const asset = PRIVATE_DIAGRAMS[url.pathname];
if ((!asset && !retiredIpe) || request.method !== 'GET') {
  return new Response(null, { status: 404, headers });
}
const authorization = retiredIpe
  ? await authorizeAdminRequest(request)
  : await authorizeLearnerRequest(request);
// !authorization.ok이면 해당 401/403 응답 반환
if (retiredIpe) return new Response(null, { status: 410, headers });
if (!asset) return new Response(null, { status: 404, headers });
return new Response(asset.svg, {
  status: 200,
  headers: { ...headers, 'Content-Type': 'image/svg+xml; charset=utf-8' },
});