feat: 소셜 로그인 (kakao·apple·google) — 앱이 쓰는 계약으로

.github/workflows/ci.yml

@@ -156,10 +156,13 @@ jobs:
           DB_URL: jdbc:mysql://127.0.0.1:3306/offway?useSSL=false&allowPublicKeyRetrieval=true&serverTimezone=Asia/Seoul
           DB_USERNAME: root
           DB_PASSWORD: ci-verify
-          # 이 둘은 비면 부팅이 실패한다(열린 채 뜨는 쪽이 더 위험해서 그렇게 만들어 두었다).
+          # 아래 셋은 비면 부팅이 실패한다(열린 채 뜨는 쪽이 더 위험해서 그렇게 만들어 두었다).
           # 검증용 더미이고 이 잡 밖으로 나가지 않는다.
           OFFWAY_BASIC_USERNAME: ci
           OFFWAY_BASIC_PASSWORD: '{noop}ci'
+          # 자체 토큰 서명키(#34). 없으면 아무 토큰이나 위조 가능해져 TokenIssuer 가 부팅을 막는다.
+          # HS256 최소 32바이트라 길이를 채운 더미를 쓴다. 운영 값은 JWT_SECRET 시크릿에서 온다.
+          JWT_SECRET: ci-migration-verify-only-not-a-real-signing-key
         run: |
           set -uo pipefail
           JAR=$(ls build/libs/*.jar | grep -v plain | head -1)

.github/workflows/deploy.yml

@@ -112,6 +112,14 @@ jobs:
           DATA_GO_KR_SERVICE_KEY=${{ secrets.DATA_GO_KR_SERVICE_KEY }}
           TMAP_APP_KEY=${{ secrets.TMAP_APP_KEY }}
           DISCORD_WEBHOOK_URL=${{ secrets.DISCORD_WEBHOOK_URL }}
+          JWT_SECRET=${{ secrets.JWT_SECRET }}
+          KAKAO_REST_API_KEY=${{ secrets.KAKAO_REST_API_KEY }}
+          KAKAO_APP_ID=${{ secrets.KAKAO_APP_ID }}
+          GOOGLE_WEB_CLIENT_ID=${{ secrets.GOOGLE_WEB_CLIENT_ID }}
+          APPLE_SERVICE_ID=${{ secrets.APPLE_SERVICE_ID }}
+          APPLE_TEAM_ID=${{ secrets.APPLE_TEAM_ID }}
+          APPLE_KEY_ID=${{ secrets.APPLE_KEY_ID }}
+          APPLE_PRIVATE_KEY_BASE64=${{ secrets.APPLE_PRIVATE_KEY_BASE64 }}
           ENVEOF
           scp -i ~/.ssh/deploy_key env.prod \
             "${{ secrets.EC2_USER }}@${{ secrets.EC2_HOST }}:~/offway/env.prod"

.gitignore

@@ -29,6 +29,9 @@ secret.properties
 *.jks
 *.keystore
 *.key
+# Apple 로그인 키 (AuthKey_XXXXXXXXXX.p8) — 레포가 public 이라 확장자로 먼저 막는다.
+# 재발급이 안 되는 키라 한 번 새면 콘솔에서 폐기하고 새로 만드는 수밖에 없다.
+*.p8
 credentials.json
 **/secrets/
 

application-secret.properties.example

@@ -25,6 +25,52 @@ TMAP_APP_KEY=
 APIDOG_ACCESS_TOKEN=
 APIDOG_PROJECT_ID=
 
+# ── 소셜 로그인 (#34) ─────────────────────────────────────────
+#   비어 있어도 부팅된다 — 해당 provider 로그인만 USER-002 로 실패한다(로컬 실행성 규칙).
+#   로컬에서 실 provider 토큰 없이 API 를 부르려면 POST /api/v1/auth/dev-login 을 쓴다(local 전용).
+
+# 자체 JWT 서명키 (HS256, 최소 32바이트)
+#   ⚠️ 이 값을 아는 사람은 아무 사용자의 토큰이나 위조할 수 있다.
+#   - local 은 application-local.properties 의 개발용 고정값이 쓰이므로 비워둬도 된다.
+#   - 운영은 반드시 주입한다. 없으면 부팅이 실패한다(조용히 약한 키로 뜨지 않게).
+#   - 생성: openssl rand -base64 48
+JWT_SECRET=
+
+# 카카오 REST API 키
+#   - 발급: https://developers.kakao.com > 내 애플리케이션 > 앱 키 > REST API 키
+#   - 서버는 이 키로 카카오를 부르지 않는다(프로필 조회는 사용자 액세스 토큰만 받는다).
+#     앱이 등록됐는지 판별하는 용도라, 비면 카카오 로그인을 받지 않는다.
+#   - client secret 은 필요 없다. 그 값이 쓰이는 토큰 엔드포인트(POST /oauth/token)는 앱이 SDK 로 끝낸다.
+KAKAO_REST_API_KEY=
+
+# 카카오 앱 번호 (앱 ID) — Apple 의 APPLE_SERVICE_ID · 구글의 GOOGLE_WEB_CLIENT_ID 와 같은 역할이다
+#   ⚠️ 이 값이 비면 카카오 로그인을 아예 받지 않는다. 조용히 검증을 건너뛰지 않기 위해서다.
+#      검증이 없으면 **다른 카카오 앱에서 발급된 액세스 토큰**을 그대로 우리 서버에 던져 그 사용자로
+#      로그인할 수 있다 — 토큰 하나만 손에 넣으면 되는 계정 탈취다.
+#   - 확인: https://developers.kakao.com > 내 애플리케이션 > 앱 설정 > 요약 정보 > 앱 ID (숫자)
+#   - REST API 키가 아니다. 서버는 토큰 정보 조회(/v1/user/access_token_info)가 돌려주는 app_id 와 이 값을 대조한다.
+KAKAO_APP_ID=
+
+# 구글 '웹' 클라이언트 ID
+#   ⚠️ iOS/Android 클라이언트 ID 가 아니라 **웹** 클라이언트 ID 다. ID 토큰의 aud 검증에 쓴다 —
+#      값이 어긋나면 앱이 보낸 토큰이 전부 401 이 된다.
+#   - 발급: https://console.cloud.google.com > API 및 서비스 > 사용자 인증 정보 > OAuth 2.0 클라이언트 ID (웹)
+GOOGLE_WEB_CLIENT_ID=
+
+# 애플 Service ID — identityToken 의 aud 검증에 쓴다
+#   - 발급: https://developer.apple.com > Certificates, Identifiers & Profiles > Identifiers > Services IDs
+APPLE_SERVICE_ID=
+
+# 애플 서버 인증용 (지금은 미사용 — 회원 탈퇴 시 Apple 연결 해제(revoke)에 필요해 미리 받아 둔다)
+#   ⚠️ APPLE_PRIVATE_KEY_BASE64 는 .p8 키 파일을 base64 로 인코딩한 값이다.
+#      env-file 이 여러 줄 값을 못 받아 한 줄로 만든 것이라, 쓸 때 디코딩한다.
+#      원본 .p8 은 재발급이 안 된다 — 레포에 두지 말 것(.gitignore 가 *.p8 을 막는다).
+#   - 생성: base64 -i AuthKey_XXXXXXXXXX.p8 | tr -d '\n'
+#   - 발급: https://developer.apple.com > Keys > Sign in with Apple 활성화한 키
+APPLE_TEAM_ID=
+APPLE_KEY_ID=
+APPLE_PRIVATE_KEY_BASE64=
+
 # 디스코드 알림 웹훅 URL (외부 API 한도 알림 · 정책 만료 알림)
 #   ⚠️ URL 끝 token 조각을 아는 사람은 누구나 그 채널에 글을 쓸 수 있다 — 비밀로 다룬다.
 #   - 발급: 디스코드 채널 > 채널 편집 > 연동 > 웹훅 > 새 웹훅 > 웹훅 URL 복사