[REFACTOR] 보안 취약점 리팩토링

[catomat0]

📌 PR 개요

• 보안 취약점 수정

---

🔗 관련 이슈

• Closes [REFACTOR] 보안 부분 수정 및 추가 #208

---

🛠 변경 사항

• 토큰 필터 에러 리턴
• logout 진입 제한
• 로그 마스킹
• nginx 취약점 보완
• 배포 서버 스웨거 접근 제한

---

⚠️ 리뷰 시 참고 사항

---

✅ 체크리스트

• 로컬에서 정상 실행됨
• 로그 / 네이밍 정리
• main / develop 직접 커밋 아님

[coderabbitai]

Important

Review skipped

Auto reviews are disabled on this repository. Please check the settings in the CodeRabbit UI or the .coderabbit.yaml file in this repository. To trigger a single review, invoke the @coderabbitai review command.

⚙️ Run configuration

Configuration used: Path: .coderabbit.yml

Review profile: CHILL

Plan: Pro

Run ID: 55e51d89-21a4-4c07-91e0-44482351c09f

You can disable this status message by setting the reviews.review_status to false in the CodeRabbit configuration file.

Use the checkbox below for a quick retry:

• 🔍 Trigger review

✨ Finishing Touches

🧪 Generate unit tests (beta)

• Create PR with unit tests
• Commit unit tests in branch refactor/#208-auth-refactoring

---

Thanks for using CodeRabbit! It's free for OSS, and your support helps us grow. If you like it, consider giving us a shout-out.

❤️ Share

• X
• Mastodon
• Reddit
• LinkedIn

_{Comment @coderabbitai help to get the list of available commands and usage tips.}

[catomat0]

@CodeRabbit

[coderabbitai]

Tip

For best results, initiate chat on the files or code changes.

@catomat0 안녕하세요! 👋 무엇을 도와드릴까요? 이 PR에 대한 리뷰를 원하시면 말씀해 주세요. 아래와 같은 작업들을 도와드릴 수 있습니다:

• 코드 리뷰 - PR 변경 사항 전체 검토
• 보안 분석 - 보안 취약점 수정 사항 상세 검토
• 질문 답변 - 코드나 변경 사항에 대한 구체적인 질문

원하시는 작업을 알려주시면 바로 도와드리겠습니다! 😊

[catomat0]

@CodeRabbit 보안 취약점 리팩토링했는데 머지 충돌 난 부분 잘 해결되었는지 체크해주고, 다른 보안 취약점 있는지 체크해줘 api 부분의 사용자 확인 이후 호출해야하는 부분은 이미 인지하고있어

[coderabbitai]

Tip

For best results, initiate chat on the files or code changes.

🧩 Analysis chain

🏁 Script executed:

#!/bin/bash
# Get PR details and files changed
gh pr view 212 --repo UMC-DearE/BackEnd --json files,mergeable,mergeStateStatus,baseRefName,headRefName

echo "=== PR DIFF ==="
gh pr diff 212 --repo UMC-DearE/BackEnd

Length of output: 4007

---

🏁 Script executed:

#!/bin/bash
# Get full content of changed files to deeper security analysis
cat src/main/java/com/deare/backend/global/config/SecurityConfig.java
echo "=== SwaggerConfig ==="
cat src/main/java/com/deare/backend/global/config/SwaggerConfig.java
echo "=== AuthService relevant sections ==="
cat src/main/java/com/deare/backend/api/auth/service/AuthService.java

Length of output: 15996

---

@catomat0 분석 결과를 아래에 정리했습니다.

---

✅ 머지 충돌 여부

mergeable: "MERGEABLE" — 머지 충돌 없습니다. mergeStateStatus: "BLOCKED"는 리뷰 승인 조건 미충족으로 인한 것입니다.

---

🔍 보안 변경 사항 검토

✅ 올바르게 수정된 사항

항목	상태
로그아웃 진입 제한 (.authenticated())	✅ 순서 정상 — requestMatchers("/api/v1/auth/logout").authenticated()가 /api/v1/auth/** permitAll보다 먼저 선언되어 Spring Security가 올바르게 처리
로그 이메일 마스킹 (handleOAuthCallback, issueJwtAndReturn)	✅ 정상 적용
Swagger permitAll 제거	✅ 미인증 접근 차단됨 (.anyRequest().authenticated() 적용)

---

❌ 추가 보안 취약점 발견

1. signup() 메서드 이메일 마스킹 누락 (Critical)

AuthService.java의 signup() 메서드에서 이메일이 마스킹 없이 그대로 로그에 출력되고 있습니다:

// 현재 (취약)
log.info("회원가입 완료 - User ID: {}, Provider: {}, Email: {}",
        newUser.getId(), provider, email); // ← email 마스킹 없음!

// 수정 후
log.info("회원가입 완료 - User ID: {}, Provider: {}, Email: {}",
        newUser.getId(), provider, maskEmail(email));

handleOAuthCallback과 issueJwtAndReturn은 마스킹했지만 signup()은 빠졌습니다.

---

2. SwaggerConfig — Springdoc 자동 구성 주의

@Configuration을 주석 처리했으나, springdoc-openapi 라이브러리가 classpath에 있으면 Springdoc 자동 구성(Auto-configuration)이 독립적으로 동작하여 /v3/api-docs, /swagger-ui/** 엔드포인트가 여전히 생성될 수 있습니다. 현재 SecurityConfig에서 해당 경로를 permitAll에서 제거했으므로 인증된 사용자만 접근 가능하지만, 완전히 비활성화하려면:

# application-prod.properties (권장)
springdoc.api-docs.enabled=false
springdoc.swagger-ui.enabled=false

이 방법이 코드 주석 처리보다 명확하고 안전합니다.

---

3. (참고) localhost CORS 허용

config.setAllowedOrigins(List.of(
    "http://localhost:3000",
    "http://localhost:5173",  // 개발 환경 origin
    ...
));

프로덕션 배포 시 로컬 origin이 포함되어 있습니다. 환경별로 분리 관리하는 것을 권장합니다.

---

요약

항목	결과
머지 충돌	✅ 없음
로그아웃 진입 제한	✅ 정상
로그 마스킹 (handleOAuthCallback, issueJwtAndReturn)	✅ 정상
signup() 이메일 마스킹	❌ 누락 — 수정 필요
Swagger 완전 비활성화	⚠️ properties 설정 추가 권장