# --permission 플래그로 Permission Model 활성화
# 활성화하면 모든 리소스 접근이 기본 차단되며, 필요한 것만 명시적으로 허용한다
node \
  --permission \
  --allow-fs-read="/app/data" \
  --allow-fs-write="/app/output" \
  --allow-net="api.example.com:443" \
  server.js

// server.js — 런타임에 권한 여부를 확인하는 방어적 패턴
import { readFile, writeFile } from "node:fs/promises";

// 작업 전 권한 확인
if (!process.permission.has("fs.read", "/app/data/config.json")) {
  throw new Error("설정 파일 읽기 권한 없음 — --allow-fs-read 확인 필요");
}

const config = await readFile("/app/data/config.json", "utf-8");
console.log("설정 로드 완료:", JSON.parse(config));

# 권한 없이 파일 접근 시 ERR_ACCESS_DENIED 발생
node --permission app.js
# → node:fs read → Error [ERR_ACCESS_DENIED]: Access to FileSystemRead was blocked

# 특정 경로만 허용
node --permission --allow-fs-read="/etc/ssl/certs" app.js

# 와일드카드로 디렉터리 전체 허용
node --permission --allow-fs-read="/app/*" app.js

# 실용적인 서버 구성 예시
node \
  --permission \
  --allow-fs-read="/app/src,/app/node_modules,/etc/ssl" \
  --allow-fs-write="/app/logs,/tmp" \
  --allow-fs-read="/proc/self" \  # Node.js 자체 동작에 필요
  src/server.js

// 권한 범위를 초과한 접근은 예외 발생 — try/catch로 처리
import { readFile } from "node:fs/promises";

async function safeRead(filePath) {
  if (!process.permission.has("fs.read", filePath)) {
    // 권한 없음을 미리 감지해 명확한 오류 메시지 제공
    throw new Error(`읽기 권한 없음: ${filePath}`);
  }
  return readFile(filePath, "utf-8");
}

try {
  const content = await safeRead("/app/data/report.json");
  console.log(content);
} catch (err) {
  console.error("파일 접근 실패:", err.message);
}

# 결제 API와 내부 DB만 허용
node \
  --permission \
  --allow-net="payments.example.com:443,db.internal:5432" \
  payment-service.js

# 허용되지 않은 호스트 연결 시도 → ERR_ACCESS_DENIED
# → Error [ERR_ACCESS_DENIED]: Access to Net was blocked

// 네트워크 권한 확인 후 조건부 동작
import https from "node:https";

const TARGET = "payments.example.com:443";

if (!process.permission.has("net", TARGET)) {
  console.error(`네트워크 접근 불가: ${TARGET}`);
  process.exit(1);
}

// 허용된 도메인에만 요청 전송
https.get(`https://payments.example.com/health`, (res) => {
  console.log("결제 서버 상태:", res.statusCode);
});

// process.permission.has(scope, resource?) API
// scope: 'fs.read' | 'fs.write' | 'net' | 'child' | 'worker' | 'inspector' | 'addons'
// resource: 경로 또는 호스트:포트 (생략 시 scope 전체 여부 확인)

function assertPermission(scope, resource) {
  // --permission 없이 실행 시 process.permission 자체가 없을 수 있다
  if (typeof process.permission === "undefined") return; // 비활성 환경 — 통과

  if (!process.permission.has(scope, resource)) {
    throw new Error(
      `[권한 오류] ${scope} 접근 차단: ${resource ?? "(전체)"}\n` +
      `실행 시 --allow-${scope.replace(".", "-")}="${resource}" 추가 필요`
    );
  }
}

// 사용 예
assertPermission("fs.read", "/app/config.json");
assertPermission("net", "api.example.com:443");
assertPermission("child"); // 자식 프로세스 생성 권한 전체 확인

// 파일 읽기 전 권한 체크를 래핑한 유틸리티
import { readFile } from "node:fs/promises";

async function permissionedReadFile(filePath, encoding = "utf-8") {
  assertPermission("fs.read", filePath);
  return readFile(filePath, encoding);
}