feat: [3/3] 임시 Basic 인증 게이트 + EC2 배포 인프라 - #126
Conversation
- 8080 을 0.0.0.0 으로 여는데 SecurityConfig 가 전체 permitAll 이라, 누구나 우리 서버를 경유해 외부 API 키를 태울 수 있었다. TMAP 경유지 최적화는 하루 50건이라 봇 한 마리로 고갈된다 — #110 에서 테스트가 조용히 80% 를 태운 그 한도다. - HTTP Basic 을 골랐다. FE 에 로그인 화면이 없고 provider 클라이언트 ID 가 없어 소셜 로그인을 붙일 수 없는데(#93 이 draft 인 이유), Basic 은 로그인 페이지·토큰 저장·만료 관리가 전부 필요 없다. 앱은 헤더 하나, 브라우저는 기본 팝업으로 통과한다. #93 이 머지되면 통째로 걷어낸다 — 임시 장치는 제거 비용이 낮은 게 중요하다. - 401 을 AuthenticationEntryPoint 로 감쌌다. Security 기본 401 은 필터 레벨이라 @RestControllerAdvice 를 타지 않아 본문이 비고, 그대로 두면 클라이언트가 파싱에 실패한다. - 계정 값을 프로파일 파일에 하드코딩하지 않고 ${OFFWAY_BASIC_USERNAME:dev} 로 뒀다. 하드코딩하면 프로파일 파일이 환경변수를 이겨, local 로 띄운 인스턴스가 dev/dev 로 고정된다 — 외부에 열면 누구나 아는 계정이 된다. 실제로 부팅해 환경변수가 이기는 것을 확인했다. - 값이 비면 부팅을 막는다. 외부 API 키는 없어도 그 호출만 죽지만, 인증 계정이 비면 서버가 통째로 열린 채 뜬다 — 조용히 뜨는 쪽이 훨씬 위험하다. - 통합 테스트 18개 클래스에 @WithMockUser. 동시성 테스트 3곳은 별도 스레드라 SecurityContext 가 전파되지 않아 httpBasic 을 명시했다.
- dev 푸시마다 EC2 에 배포한다. CI 와 workflow_run 으로 엮지 않고 자체 빌드·테스트를 돌린다 — 엮으면 실패 지점이 두 워크플로우에 흩어져 "왜 배포가 안 됐는지" 추적이 어렵다. - 이미지 레지스트리를 두지 않고 jar+Dockerfile 을 전송해 EC2 에서 빌드한다. GHCR 을 쓰면 EC2 에 레지스트리 자격증명을 하나 더 심어야 하는데, 팀 내부 규모에서 그 대가가 이득보다 크다. - 환경변수는 --env-file 로 넘긴다. docker run -e 로 나열하면 서버에서 ps 만 쳐도 DB 비밀번호와 API 키가 그대로 보인다. 파일은 600 으로 두고 러너 쪽 사본은 즉시 지운다. - 배포 워크플로우에 외부 API 키를 넘기되 **테스트 단계와 분리**했다 — 테스트가 실키로 외부를 호출해 일일 허용량을 태운 적이 있다(#110). - 기동 확인에서 401 도 성공으로 본다. 인증 게이트가 살아 있다는 뜻이라 200 과 똑같이 정상이다. 컨테이너가 떴다고 앱이 뜬 게 아니라서(DB 접속·마이그레이션 실패는 기동 중에 죽는다) 이 단계를 둔다. - 컨테이너 TZ 를 Asia/Seoul 로 고정했다. 연차·D-day·"오늘자" 판정이 전부 KST 기준이라 컨테이너가 UTC 면 하루가 어긋난다. - prod 프로파일은 DB 값에 기본값을 두지 않아 미설정이면 부팅이 실패한다. 잘못된 DB 로 조용히 뜨는 것보다 낫다. H2 콘솔은 끈다 — 운영에 열면 DB 를 브라우저로 그대로 노출한다.
- 첫 배포는 사람이 지켜보는 앞에서 돌아야 해 push 트리거를 주석으로 내렸다. Flyway 마이그레이션 14개가 빈 MySQL 에 처음 적용되는 순간인데 그때까지 H2 로만 검증된 상태다. 첫 배포가 확인되면 주석을 풀어 자동 배포로 전환한다. - 보안그룹을 실제로 조회해보니 22번이 특정 IP 하나(221.151.88.172/32)만 열려 있었다. Actions 러너는 매번 다른 IP 라 그대로면 SSH 가 timeout 으로 죽는다. 22번을 상시 개방하는 대신 실행마다 러너 IP 만 열고 끝나면(실패해도) 회수한다 — if: always() 로 걸어 규칙이 남아 영구 개방되는 것을 막는다. - MySQL 을 같은 도커 네트워크에 두고 3306 을 호스트로 노출하지 않는다. 외부에서 DB 에 직접 붙을 수 없고, 그래서 DB_URL 의 호스트가 컨테이너명(offway-mysql)이다. - MySQL 이 떠 있지 않으면 앱을 띄우지 않고 중단한다. 띄워봐야 커넥션 실패로 죽는데, 그때는 "왜 죽었는지" 가 앱 로그 깊숙이 묻힌다.
- 완료 기준의 "prod 에서 계정 미설정 시 부팅 실패" 를 확인하려 prod 프로파일로 띄워봤으나 DB 드라이버에서 먼저 죽어 계정 검증까지 도달하지 못했다. 통합으로는 이 불변식만 따로 겨눌 수 없어 단위 테스트로 내렸다. - null·빈 문자열·공백을 모두 막는지 본다. 공백만 든 환경변수는 "설정했다" 는 착각을 주기 쉬운 실수라 빈 값과 같이 취급한다.
|
Warning Review limit reached
Next review available in: 36 minutes Enable usage-based reviews in Billing to review now. Otherwise, wait until the next included review is available. How can I continue?After more reviews become available, a review can be triggered using the To avoid repeated limits, reduce automatic review volume by pausing incremental auto-reviews earlier, using label-based review opt-in, excluding WIP or generated PR titles, or requesting reviews manually when the PR is ready. If your team needs uninterrupted high-volume reviews, an organization admin can enable usage-based reviews. How do review limits work?CodeRabbit enforces per-developer PR review limits for each organization. Most developers receive the normal plan review availability. For paid Pro and Pro+ PR reviews, CodeRabbit uses adaptive limits for sustained high-volume activity. When a developer's recent PR review activity reaches the 95th percentile or higher among CodeRabbit users, additional reviews become available more gradually as earlier reviews age out of the rolling window. Please refer docs for additional details. Review details⚙️ Run configurationConfiguration used: Path: .coderabbit.yaml Review profile: CHILL Plan: Pro Plus Run ID: 📒 Files selected for processing (9)
📝 WalkthroughWalkthrough전체 API에 HTTP Basic 인증을 적용하고 공통 401 응답을 추가했습니다. 인증 설정과 통합 테스트를 갱신했습니다. Java 25 기반 Docker 이미지를 만들고, GitHub Actions로 EC2 배포와 기동 검증을 자동화했습니다. ChangesBasic 인증 및 EC2 배포
Estimated code review effort: 4 (Complex) | ~60 minutes Sequence Diagram(s)sequenceDiagram
participant Client
participant SecurityFilterChain
participant UserDetailsService
participant ApiResponseAuthenticationEntryPoint
participant API
Client->>SecurityFilterChain: HTTP Basic 요청
SecurityFilterChain->>UserDetailsService: 자격증명 검증
UserDetailsService-->>SecurityFilterChain: 인증 결과
alt 인증 실패
SecurityFilterChain->>ApiResponseAuthenticationEntryPoint: 401 처리
ApiResponseAuthenticationEntryPoint-->>Client: ApiResponseBody.fail(UNAUTHORIZED)
else 인증 성공
SecurityFilterChain->>API: 요청 전달
API-->>Client: API 응답
end
Possibly related PRs
Suggested labels: 🚥 Pre-merge checks | ✅ 3 | ❌ 1❌ Failed checks (1 warning)
✅ Passed checks (3 passed)
✨ Finishing Touches 💡 1🛠️ Fix failing CI checks 💡
📝 Generate docstrings
🧪 Generate unit tests (beta)
Thanks for using CodeRabbit! It's free for OSS, and your support helps us grow. If you like it, consider giving us a shout-out. Comment |
|
@coderabbitai review |
✅ Action performedReview finished.
|
![coderabbitai[bot]](https://avatars.githubusercontent.com/in/347564?s=60&v=4){kind=small}
There was a problem hiding this comment.
Actionable comments posted: 3
🧹 Nitpick comments (6)
Dockerfile (1)
1-6: 📐 Maintainability & Code Quality | 🔵 Trivial | ⚡ Quick win베이스 이미지 태그를 구체적인 버전으로 고정하면 배포 재현성이 좋아질 것 같습니다.
eclipse-temurin:25-jre는 마이너/패치 버전이 고정되지 않은 태그라서, 이미지가 새로 빌드될 때마다 조금씩 다른 패치 버전을 받아올 수 있습니다. 코드 변경 없이도 배포마다 JRE 버전이 달라질 수 있다는 뜻이라, 나중에 원인 파악이 어려운 문제가 생길 수 있습니다.
25.0.3_9-jre처럼 구체적인 버전으로 고정하고, 업그레이드가 필요할 때 의도적으로 갱신하는 방식을 제안드립니다. 지금 당장 급한 건 아니니 편하실 때 반영해 주시면 됩니다.-FROM eclipse-temurin:25-jre +FROM eclipse-temurin:25.0.3_9-jre🤖 Prompt for AI Agents
Verify each finding against current code. Fix only still-valid issues, skip the rest with a brief reason, keep changes minimal, and validate. In `@Dockerfile` around lines 1 - 6, Update the Dockerfile’s FROM instruction to use the specific eclipse-temurin JRE version 25.0.3_9-jre instead of the floating 25-jre tag, keeping future runtime upgrades intentional..github/workflows/deploy.yml (2)
52-67: 🔒 Security & Privacy | 🔵 Trivial | 🏗️ Heavy liftAWS 자격증명을 장기 액세스 키 대신 OIDC로 전환하는 방안도 검토해보면 좋겠습니다.
지금은
AWS_ACCESS_KEY_ID/AWS_SECRET_ACCESS_KEY를 GitHub Secrets에 장기 보관하는 방식을 쓰고 있습니다. 이 방식은 키가 유출되면 만료 전까지 계속 악용될 수 있다는 리스크가 있습니다.aws-actions/configure-aws-credentials는role-to-assume와 GitHub OIDC 토큰을 함께 쓰는 방식을 지원하는데, 이 방식을 쓰면 저장소에 장기 키를 두지 않아도 되고 IAM 정책으로 세밀하게 권한을 제한하기도 더 쉽습니다.지금 당장 급한 문제는 아니라서, 여유 있을 때 한번 살펴보시면 좋을 것 같습니다.
permissions: contents: read id-token: write steps: - name: AWS 자격증명 설정 uses: aws-actions/configure-aws-credentials@v5 with: role-to-assume: ${{ secrets.AWS_DEPLOY_ROLE_ARN }} aws-region: ap-northeast-1AWS 문서에서 GitHub Actions OIDC 연동에 대한 최신 가이드를 한번 확인해 주시면 좋겠습니다.
🤖 Prompt for AI Agents
Verify each finding against current code. Fix only still-valid issues, skip the rest with a brief reason, keep changes minimal, and validate. In @.github/workflows/deploy.yml around lines 52 - 67, Update the AWS credential setup step to use GitHub Actions OIDC with a restricted IAM role instead of long-lived access-key secrets: add job-level permissions for contents: read and id-token: write, replace the access-key fields in configure-aws-credentials with role-to-assume referencing the deployment role ARN, and retain the existing aws-region configuration.
107-136: 🩺 Stability & Availability | 🔵 Triviallatest 태그와 즉시 컨테이너 교체 방식이라 실패 시 롤백 수단이 없다는 점을 참고해 주세요.
docker build -t offway-core:latest .로 매번 같은 태그를 덮어쓰고, 새 컨테이너를 띄우기 전에 기존 컨테이너를docker rm -f로 먼저 지워버립니다. 이미지 빌드나 컨테이너 기동이 실패하면 이전에 동작하던 이미지도 이미 사라진 뒤라서, 수동으로 이전 버전을 다시 빌드하지 않는 한 되돌릴 방법이 없습니다.지금은 첫 배포를 수동으로 지켜보는 단계라 큰 문제는 아니지만, 자동 배포로 전환하기 전에는 커밋 SHA 등으로 이미지 태그를 남기고, 기동 확인 실패 시 이전 이미지로 복귀하는 절차를 함께 마련해두면 안전할 것 같습니다.
🤖 Prompt for AI Agents
Verify each finding against current code. Fix only still-valid issues, skip the rest with a brief reason, keep changes minimal, and validate. In @.github/workflows/deploy.yml around lines 107 - 136, Update the deployment flow around the docker build and offway-core replacement to tag each image with an immutable commit SHA instead of relying only on offway-core:latest, retain the previous image/container reference, and verify the newly started container becomes healthy before removing the rollback path. If startup verification fails, stop the failed container and restore the previous image/container; keep latest only as an optional pointer after successful deployment.src/main/java/com/offway/core/user/config/ApiResponseAuthenticationEntryPoint.java (1)
33-42: 🔒 Security & Privacy | 🔵 Trivial | 💤 Low value하나만 더 제안드릴게요. 지금은 인증 실패 시 로그가 전혀 안 남는데, 임시 게이트를 뚫으려는 시도(브루트포스 등)를 나중에 운영에서 파악하려면 사용자명·자격증명은 빼고 요청 경로·시간 정도만 warn 레벨로 남겨두면 도움이 될 것 같습니다. 지금 급하게 넣을 정도는 아니니 여유 될 때 검토해 보시면 좋겠습니다.
🤖 Prompt for AI Agents
Verify each finding against current code. Fix only still-valid issues, skip the rest with a brief reason, keep changes minimal, and validate. In `@src/main/java/com/offway/core/user/config/ApiResponseAuthenticationEntryPoint.java` around lines 33 - 42, 인증 실패를 처리하는 commence 메서드에 warn 레벨 로깅을 추가해 요청 경로와 발생 시각을 기록하세요. 사용자명, 비밀번호 등 자격증명이나 계정 존재 여부를 드러내는 정보는 로그에 포함하지 말고, 기존 401 응답 생성 동작은 그대로 유지하세요.README.md (1)
21-28: 🔒 Security & Privacy | 🔵 Trivial외부 Basic 인증 경로의 TLS 보호를 확인하면 좋겠습니다.
제공된 PR 목표상 8080 포트가 외부에 노출됩니다. Basic 인증은 자격 증명을 Base64로만 인코딩하므로 평문 HTTP로 직접 노출하면 자격 증명이 탈취되고 재사용될 수 있습니다. EC2 앞단에서 HTTPS/TLS를 종료하거나 8080을 신뢰된 네트워크로 제한하고, 실제 외부 접속 방식을 문서에 명시하면 좋겠습니다. (rfc-editor.org)
🤖 Prompt for AI Agents
Verify each finding against current code. Fix only still-valid issues, skip the rest with a brief reason, keep changes minimal, and validate. In `@README.md` around lines 21 - 28, Update the API 인증 section in README.md to document that external Basic 인증 traffic must be protected by HTTPS/TLS termination at the EC2 front end, or restrict port 8080 to a trusted network; clearly state the intended external access path while retaining the local dev/dev usage example.Source: MCP tools
src/main/resources/application.properties (1)
19-25: 🔒 Security & Privacy | 🔵 Trivial배포 전 실행 시 프로필 누락을 실패시키면 좋겠습니다.
기본 프로파일이
local이라SPRING_PROFILES_ACTIVE가 빠지면 적용은 가능하지만,application-local.properties의 알려진 계정인dev/dev가 Basic 인증으로 선택됩니다. 운영 배포는prod+ 기본 계정 없이 실행되도록 보간 순서를 조정해 누락 시 기본값이 채우지 않게 하면 좋겠습니다.local은 로컬 실행성을 위해 기본값을 유지하되, 실행 환경에서 의도치 않게 선택되지 않는 경로만 확인하면 됩니다.🤖 Prompt for AI Agents
Verify each finding against current code. Fix only still-valid issues, skip the rest with a brief reason, keep changes minimal, and validate. In `@src/main/resources/application.properties` around lines 19 - 25, Adjust the Basic authentication property resolution across application.properties and application-local.properties: keep the local profile’s dev/dev defaults for local usability, but ensure the production configuration does not inherit those defaults when SPRING_PROFILES_ACTIVE or deployment credentials are missing. Update the interpolation/profile precedence so production requires explicitly supplied OFFWAY_BASIC_USERNAME and OFFWAY_BASIC_PASSWORD values and fails startup rather than selecting the known local account.
🤖 Prompt for all review comments with AI agents
Verify each finding against current code. Fix only still-valid issues, skip the
rest with a brief reason, keep changes minimal, and validate.
Inline comments:
In @.github/workflows/deploy.yml:
- Around line 89-105: Update the env.prod heredoc in the workflow step “환경변수 파일
생성 (600)” to use a quoted heredoc delimiter, preserving GitHub Actions `${{
secrets.* }}` interpolation while preventing the shell from interpreting special
characters in substituted secret values.
In
`@src/main/java/com/offway/core/user/config/ApiResponseAuthenticationEntryPoint.java`:
- Around line 23-25: Update the class-level comment in
ApiResponseAuthenticationEntryPoint to match the actual SecurityConfig routing:
this entry point never adds WWW-Authenticate, so Swagger access does not trigger
a browser-native authentication popup. Document that users should provide
credentials through the URL or Swagger UI’s Authorize button, without changing
the authentication behavior.
In
`@src/test/java/com/offway/core/itinerary/controller/CourseStorageIntegrationTest.java`:
- Line 4: Update the concurrent deletion requests in
CourseStorageIntegrationTest to use request-scoped user("test") authentication
instead of httpBasic("dev", "dev"), and remove the now-unused httpBasic import.
Keep Basic credential validation covered by BasicAuthIntegrationTest.
---
Nitpick comments:
In @.github/workflows/deploy.yml:
- Around line 52-67: Update the AWS credential setup step to use GitHub Actions
OIDC with a restricted IAM role instead of long-lived access-key secrets: add
job-level permissions for contents: read and id-token: write, replace the
access-key fields in configure-aws-credentials with role-to-assume referencing
the deployment role ARN, and retain the existing aws-region configuration.
- Around line 107-136: Update the deployment flow around the docker build and
offway-core replacement to tag each image with an immutable commit SHA instead
of relying only on offway-core:latest, retain the previous image/container
reference, and verify the newly started container becomes healthy before
removing the rollback path. If startup verification fails, stop the failed
container and restore the previous image/container; keep latest only as an
optional pointer after successful deployment.
In `@Dockerfile`:
- Around line 1-6: Update the Dockerfile’s FROM instruction to use the specific
eclipse-temurin JRE version 25.0.3_9-jre instead of the floating 25-jre tag,
keeping future runtime upgrades intentional.
In `@README.md`:
- Around line 21-28: Update the API 인증 section in README.md to document that
external Basic 인증 traffic must be protected by HTTPS/TLS termination at the EC2
front end, or restrict port 8080 to a trusted network; clearly state the
intended external access path while retaining the local dev/dev usage example.
In
`@src/main/java/com/offway/core/user/config/ApiResponseAuthenticationEntryPoint.java`:
- Around line 33-42: 인증 실패를 처리하는 commence 메서드에 warn 레벨 로깅을 추가해 요청 경로와 발생 시각을
기록하세요. 사용자명, 비밀번호 등 자격증명이나 계정 존재 여부를 드러내는 정보는 로그에 포함하지 말고, 기존 401 응답 생성 동작은 그대로
유지하세요.
In `@src/main/resources/application.properties`:
- Around line 19-25: Adjust the Basic authentication property resolution across
application.properties and application-local.properties: keep the local
profile’s dev/dev defaults for local usability, but ensure the production
configuration does not inherit those defaults when SPRING_PROFILES_ACTIVE or
deployment credentials are missing. Update the interpolation/profile precedence
so production requires explicitly supplied OFFWAY_BASIC_USERNAME and
OFFWAY_BASIC_PASSWORD values and fails startup rather than selecting the known
local account.
🪄 Autofix (Beta)
Fix all unresolved CodeRabbit comments on this PR:
- Push a commit to this branch (recommended)
- Create a new PR with the fixes
ℹ️ Review info
⚙️ Run configuration
Configuration used: Path: .coderabbit.yaml
Review profile: CHILL
Plan: Pro Plus
Run ID: 6c5588b4-9596-4aed-acd7-eaac3c064930
📒 Files selected for processing (30)
.github/workflows/deploy.ymlDockerfileREADME.mdsrc/main/java/com/offway/core/common/exception/CommonErrorCode.javasrc/main/java/com/offway/core/user/config/ApiResponseAuthenticationEntryPoint.javasrc/main/java/com/offway/core/user/config/BasicAuthProperties.javasrc/main/java/com/offway/core/user/config/SecurityConfig.javasrc/main/resources/application-local.propertiessrc/main/resources/application-prod.propertiessrc/main/resources/application.propertiessrc/test/java/com/offway/core/common/OpenApiNullableSchemaIntegrationTest.javasrc/test/java/com/offway/core/common/exception/GlobalExceptionHandlerIntegrationTest.javasrc/test/java/com/offway/core/itinerary/controller/CourseGenerateIntegrationTest.javasrc/test/java/com/offway/core/itinerary/controller/CourseLeaveDeductionIntegrationTest.javasrc/test/java/com/offway/core/itinerary/controller/CoursePlanManagementIntegrationTest.javasrc/test/java/com/offway/core/itinerary/controller/CourseRegenerateIntegrationTest.javasrc/test/java/com/offway/core/itinerary/controller/CourseStorageIntegrationTest.javasrc/test/java/com/offway/core/itinerary/controller/TripOutcomeIntegrationTest.javasrc/test/java/com/offway/core/leave/controller/LeaveAvailableTimeIntegrationTest.javasrc/test/java/com/offway/core/leave/controller/LeaveSandwichIntegrationTest.javasrc/test/java/com/offway/core/leave/controller/MyLeaveIntegrationTest.javasrc/test/java/com/offway/core/policy/controller/PolicyDetailIntegrationTest.javasrc/test/java/com/offway/core/trip/controller/CategoryIntegrationTest.javasrc/test/java/com/offway/core/trip/controller/HomeIntegrationTest.javasrc/test/java/com/offway/core/trip/controller/PoiAccessibilityIntegrationTest.javasrc/test/java/com/offway/core/trip/controller/PoiDetailIntegrationTest.javasrc/test/java/com/offway/core/trip/controller/RegionRecommendIntegrationTest.javasrc/test/java/com/offway/core/user/config/BasicAuthPropertiesTest.javasrc/test/java/com/offway/core/user/controller/BasicAuthIntegrationTest.javasrc/test/java/com/offway/core/weather/controller/AirIntegrationTest.java
- 커스텀 EntryPoint 가 Security 기본 Basic 엔트리 포인트를 **대체**하는데 헤더를 안 붙여,
WWW-Authenticate 가 아예 나가지 않았다. 실호출로 확인했다 — 401 응답에 헤더가 없다.
그러면 브라우저 인증 팝업이 뜨지 않아 사람이 Swagger 를 열 수단이 사라진다(로그인 화면도 없다).
"브라우저는 팝업으로 통과한다" 가 Basic 을 고른 이유 중 하나였는데 그 근거가 무너져 있었다.
- 주석은 정반대로 "붙이지 않는다" 고 적혀 있었다. 문서가 아니라 동작을 의도에 맞췄다.
- 동시성 테스트의 httpBasic("dev","dev") 를 요청 단위 mock 인증(user)으로 바꿨다. 실제
자격증명에 기대면 운영 계정이 바뀔 때 삭제 경합이 아니라 401 경로를 검증하게 된다.
실제 자격증명 검증은 BasicAuthIntegrationTest 한 곳이 맡는다.
…fway/core into feat/122-basic-auth-gate
- 베이스 이미지를 25.0.3_9-jre 로 고정했다. 이동 태그(25-jre)는 코드 변경 없이도 배포마다 다른 JRE 를 받아와 "어제는 됐는데" 를 추적 불가능하게 만든다. - 이미지를 커밋 SHA 로도 태그한다. latest 만 쓰면 이전 이미지가 덮여 롤백 대상이 사라진다. 오래된 태그는 최근 3개만 남긴다 — 태그가 붙어 있어 prune 이 지우지 않아 무한히 쌓인다. - Dockerfile 에 SPRING_PROFILES_ACTIVE=prod 를 기본값으로 넣었다. 애플리케이션 기본값이 local 이라 프로파일이 빠지면 H2 와 **알려진 계정 dev/dev** 로 조용히 뜬다 — 외부에 열린 8080 에서는 그게 곧 무방비다. env.prod 가 이미 넘기지만 안전망을 하나 더 둔다. - 인증 실패에 흔적을 남긴다. 사용자명은 남기지 않는다: 비밀번호가 username 자리에 들어오는 오타가 흔해 그대로 로그에 박힌다. 레벨은 규약대로 info 다(401 은 클라이언트 계약 위반). - README 에 현재 평문 HTTP 라는 사실과 HTTPS 종단이 선행돼야 하는 조건을 명시했다.
|
@coderabbitai nitpick 6건 검토 결과입니다. 반영 (
로그 레벨은 제안하신 warn 대신 info 로 뒀습니다. 이 레포 로깅 규약이 "클라이언트 계약 위반은 서버 입장에서 정상 흐름이라 info" 로 정하고 있어 401 이 거기 해당합니다. 브루트포스 탐지가 실제로 필요해지면 로그 레벨이 아니라 실패 카운팅 같은 별도 장치를 두는 편이 맞다고 봤습니다. 보류 — AWS OIDC 전환 방향은 동의합니다. 다만 지금 배포 인프라는 소셜 로그인(#93)이 붙기 전까지만 쓰는 임시 구성이고, 액세스 키의 권한을 이미 최소로 좁혀뒀습니다 — 전용 IAM 사용자에 보안그룹 규칙 추가·제거 권한만 주고 인스턴스 조회조차 |
|
Tip For best results, initiate chat on the files or code changes.
401 로그를 AWS OIDC 전환 보류 사유도 현재 범위에서는 타당합니다. 전용 IAM 사용자의 권한이 보안 그룹 규칙 추가·제거로 제한되고, 이 구성이 임시라는 전제가 유지되어야 합니다. 배포 구성이 상설화될 때 OIDC 전환을 추적할 후속 이슈를 만들어 두면 좋겠습니다. 원하시면 생성하겠습니다. 🐇 ✅ ✏️ Learnings added
You are interacting with an AI system. |
1 participant
Situation
인스턴스 8080 을
0.0.0.0으로 여는데SecurityConfig가 전체 permitAll 이었다.누구나 우리 서버를 경유해 우리 외부 API 키를 태울 수 있는 상태였다. 한도를 전부 실측해보니 여유가 없었다.
TMAP 50 은 봇 한 마리가 몇 초면 고갈시킨다. #110 에서 테스트가 조용히 80% 를 태운 것이 바로 이 한도다.
보안그룹을 조회해보니 8080 인바운드가 이미
0.0.0.0/0이었다. 앱을 띄우는 순간 전 세계에 노출된다.Task
FE 에 로그인 화면이 없고, 소셜 로그인은 provider 클라이언트 ID 가 없어 붙일 수 없다(#93 이 draft 인 이유). 화면 없이 성립하는 최소 인증이 필요했다.
임시 장치는 제거 비용이 낮은 게 중요하다는 판단이 선택을 갈랐다.
Action
인증 게이트
@RestControllerAdvice를 타지 않아 본문이 빈다 — 그대로 두면 클라이언트가 파싱에 실패한다.계정 값이 새는 자리를 막았다
${OFFWAY_BASIC_USERNAME:dev}로 뒀다. 하드코딩하면 프로파일 파일이 환경변수를 이겨, local 로 띄운 인스턴스가dev/dev로 고정된다 — 외부에 열면 누구나 아는 계정이 된다. 실제로 부팅해 환경변수가 이기는 것을 확인했다.{noop}평문·{bcrypt}해시). local 평문과 운영 해시가 같은 설정 키를 쓴다.배포 인프라
UnauthorizedOperation인 것을 확인했다.--env-file로 넘긴다.docker run -e로 나열하면 서버에서ps만 쳐도 DB 비밀번호와 API 키가 보인다.Asia/Seoul로 고정했다. 연차·D-day·"오늘자" 판정이 전부 KST 기준이라 UTC 면 하루가 어긋난다.테스트
@WithMockUser. 동시성 테스트 3곳은 별도 스레드라 SecurityContext 가 전파되지 않아httpBasic을 명시했다.Result
연관 이슈
Summary by CodeRabbit
새로운 기능
문서
테스트