Security 리팩토링 및 테스트코드 작성

[jungdongha]

close #67

[github-actions]

🤖 AI 리뷰 - src/main/kotlin/com/back/koreaTravelGuide/common/security/CustomOAuth2LoginSuccessHandler.kt

🟢 좋은점:

• 보안 측면에서 accessToken 생성 및 URL 쿼리 파라미터 노출을 제거한 변경은 우수합니다. 이는 토큰 유출 위험을 줄여 OAuth2 플로우의 안전성을 높입니다. refreshToken만 쿠키로 안전하게 전달하는 방식이 적절합니다.
• Kotlin 코드가 간결하고, 불필요한 accessToken 관련 로직을 제거하여 핸들러의 책임을 명확히 했습니다. ktlint 규칙(포맷팅, 네이밍 컨벤션)에 위배되는 부분이 보이지 않습니다.

🟡 개선사항:

• Kotlin null safety를 더 강화하세요. user.id!!는 NPE(NullPointerException)를 유발할 위험이 있으므로, user.id ?: throw IllegalStateException("User ID is null")처럼 안전한 대안을 사용하거나, user 객체의 생성 시점에서 id를 non-null로 보장하는 로직을 추가하는 것이 좋습니다. 이는 Kotlin의 null safety 원칙을 최적화합니다.
• targetUrl이 하드코딩된 "http://localhost:3000"으로 되어 있으므로, 프로퍼티 파일이나 환경 변수로 동적으로 구성할 수 있도록 개선하면 배포 유연성이 높아집니다. (예: @Value("\${frontend.url}"))

🔴 문제점:

• 글로벌 익셉션 처리(@ControllerAdvice)가 적용되지 않을 수 있습니다. 이 핸들러에서 JWT 토큰 생성이나 Redis 저장 중 예외(예: Redis 연결 실패)가 발생하면 표준 에러 응답 없이 리다이렉트가 실패할 수 있으므로, try-catch 블록을 추가해 @ControllerAdvice와 연동되도록 하거나, 커스텀 예외를 throw하여 표준 응답을 보장하세요. (ApiResponse는 리다이렉트 플로우라 직접 적용되지 않으나, 에러 시 일관된 응답 형식을 유지해야 합니다.)

[github-actions]

🤖 AI 리뷰 - src/main/kotlin/com/back/koreaTravelGuide/common/security/JwtTokenProvider.kt

🟢 좋은점:

• Kotlin 최적화 측면에서 by lazy를 사용해 key를 지연 초기화하는 부분이 효율적이며, 불필요한 초기화 비용을 줄임. null safety도 적절히 적용되어 보임 (e.g., secretKey.toByteArray() 처리).
• ktlint 규칙 준수: 코드 포맷팅이 깔끔하며 (빈 줄 제거 등), 네이밍 컨벤션 (e.g., accessTokenExpirationMinutes)이 일관적임. Logger를 커스텀 log으로 교체한 변경은 프로젝트의 로깅 전략과 맞물려 일관성을 높임.

🟡 개선사항:

• Kotlin 최적화: validateToken 함수의 try-catch 블록에서 when 표현식이나 확장 함수를 활용해 Claims 추출 로직을 더 간결하게 리팩토링할 수 있음 (e.g., Claims에 대한 확장 함수로 role 파싱). 현재는 기본적인 if-else 구조지만, 더 Kotlin다운 방식으로 최적화 가능.
• 로깅 개선: log.error 호출 시 예외 스택 트레이스를 추가로 기록하는 것이 좋음 (e.g., log.error("Token validation error", e)). 이는 디버깅 시 유용하며, SLF4J에서 지원하는 표준 패턴.

🔴 문제점:

• 글로벌 익셉션 처리: 이 클래스 내 try-catch가 있지만, JWT 관련 예외 (e.g., io.jsonwebtoken.JwtException)를 전역적으로 처리하지 않음. @ControllerAdvice를 통해 표준 에러 응답 (e.g., ApiResponse)으로 매핑되지 않으면, 상위 레이어에서 예외가 누출될 수 있음. JwtTokenProvider의 예외를 커스텀 예외로 래핑해 던지도록 수정 필요.
• ktlint 규칙: catch (e: Exception)에서 Exception이 너무 광범위함. ktlint의 'no-wildcard-imports'나 'naming-convention' 외에, 예외 타입을 구체적으로 지정 (e.g., JwtException | IllegalArgumentException)하지 않으면 코드 품질 저하. 또한, Base64

[github-actions]

🤖 AI 리뷰 - src/main/kotlin/com/back/koreaTravelGuide/common/security/SecurityConfig.kt

🟢 좋은점:

• Kotlin 최적화 측면에서 import 문이 명확하고 간결하게 유지되어 있으며, null safety나 when 표현식 등의 고급 기능이 불필요한 설정 파일에서 적절히 생략됨. 패키지 구조를 common.security로 재배치한 점은 모듈화와 유지보수성을 높이는 좋은 변화로 보임.
• ktlint 규칙 준수: import 문의 포맷팅과 네이밍 컨벤션이 일관되며, 불필요한 공백이나 오타 없이 깔끔함.

🟡 개선사항:

• 글로벌 익셉션 처리나 ApiResponse 사용은 이 SecurityConfig 파일의 맥락(보안 설정)에서 직접 적용되지 않으므로, 해당 규칙을 강제할 필요는 없으나, 만약 이 설정이 OAuth/JWT 관련 에러를 유발할 수 있다면 @ControllerAdvice와 연계된 에러 핸들링(예: AuthenticationException 처리)을 별도로 검토하는 것을 추천.
• Kotlin 최적화: 현재 변경사항은 import만 포함되어 있지만, 전체 SecurityConfig 클래스에서 확장함수나 when 표현식을 활용해 보안 필터 체인을 더 유연하게 구성할 수 있음(예: when으로 Environment 프로파일에 따라 필터 적용).

🔴 문제점:

• 없음. 제공된 변경사항은 패키지 이동으로 인한 import 수정만 포함되어 있으며, 기능적 오류나 규칙 위반이 관찰되지 않음. 다만, 이 변경 후 다른 파일들(예: CustomOAuth2LoginSuccessHandler 등)의 import 경로도 일관되게 업데이트되었는지 확인 필요.