fix(core,extensions): 보안 결함 3건과 이중저장소·레이아웃 중복키 결함군 폐쇄

KISA 제보 3건(KVE-2026-2010/2011/2018)과 그 동일 계열 형제 결함을 전수 조치하고,
그 과정에서 드러난 두 결함군을 함께 닫는다.

- 검증 시점과 연결 시점이 host 를 다르게 읽던 SSRF 통로를 정규화 SSoT 한 곳으로 모았다
- 세션을 여는 지점(2FA 완료·토큰 재발급)이 잠금 검사를 거치지 않아 계정 잠금이 우회됐다
- 인증도 서명도 없는 브라우저 리턴 콜백이 주문 상태를 바꾸던 통로를 4 PG 전부에서 닫고,
 소유권을 대조하는 close-report 를 토스에도 신설했다. 그 결과 정리 주체를 잃는
 결제창 미완료 주문은 만료 자동취소가 거둔다
- 저장소 A(_local)에만 쓰는 경로가 B 의 값을 조용히 덮던 회귀를 정본 writer 로 닫았다
 (engine-v1.63.5). 한 방향만 보던 정적 검사에 반대 방향 축과 양방향 계약 테스트를 더했다
- 레이아웃 JSON 의 같은 객체 중복 키가 앞선 선언을 오류 없이 삼키던 결함군을 닫았다

app/Http/Controllers/Api/Admin/AuthController.php

@@ -110,6 +110,19 @@ class AuthController extends AdminBaseController
             }
 
             return $this->success('common.success', $data);
+        } catch (AccountLockedException $e) {
+            // 재발급도 세션을 여는 지점이다 — 사용자 경로와 같은 423 계약을 따른다.
+            // 이 catch 가 없으면 잠긴 계정의 재발급 시도가 500 으로 새어 나간다.
+            return $this->error(
+                $e->isPermanent() ? 'auth.account_locked_permanently' : 'auth.account_locked',
+                423,
+                [
+                    'locked_until' => $e->lockedUntil?->toIso8601String(),
+                    'retry_after_seconds' => $e->remainingMinutes === null ? null : $e->remainingMinutes * 60,
+                    'permanent' => $e->isPermanent(),
+                ],
+                ['minutes' => $e->remainingMinutes]
+            );
         } catch (ValidationException $e) {
             return $this->unauthorized('auth.unauthenticated');
         }

app/Http/Controllers/Api/Auth/AuthController.php

@@ -60,17 +60,7 @@ class AuthController extends AuthBaseController
 
             return $this->success('auth.login_success', $data);
         } catch (AccountLockedException $e) {
-            // 영구 잠금(무한대 설정)은 해제 시각·잔여 시간이 없다 — null 그대로 노출.
-            return $this->error(
-                $e->isPermanent() ? 'auth.account_locked_permanently' : 'auth.account_locked',
-                423,
-                [
-                    'locked_until' => $e->lockedUntil?->toIso8601String(),
-                    'retry_after_seconds' => $e->remainingMinutes === null ? null : $e->remainingMinutes * 60,
-                    'permanent' => $e->isPermanent(),
-                ],
-                ['minutes' => $e->remainingMinutes]
-            );
+            return $this->lockedResponse($e);
         } catch (ValidationException $e) {
             return $this->unauthorized('auth.login_failed');
         }
@@ -98,11 +88,38 @@ class AuthController extends AuthBaseController
             $data['user'] = new UserResource($data['user']);
 
             return $this->success('auth.login_success', $data);
+        } catch (AccountLockedException $e) {
+            // 세션을 여는 지점이므로 `login` 과 같은 423 계약을 따른다 — 화면은 두 경로를
+            // 구분하지 않으므로 한쪽만 다른 모양이면 잠금 안내가 깨진다.
+            return $this->lockedResponse($e);
         } catch (ValidationException $e) {
             return $this->unauthorized('auth.two_factor_failed');
         }
     }
 
+    /**
+     * 계정 잠금 응답(423)을 구성합니다.
+     *
+     * 세션을 발급하는 모든 엔드포인트가 같은 페이로드를 돌려주도록 단일 지점에서 만든다.
+     *
+     * @param  AccountLockedException  $e  잠금 예외
+     * @return JsonResponse 423 응답
+     */
+    private function lockedResponse(AccountLockedException $e): JsonResponse
+    {
+        // 영구 잠금(무한대 설정)은 해제 시각·잔여 시간이 없다 — null 그대로 노출.
+        return $this->error(
+            $e->isPermanent() ? 'auth.account_locked_permanently' : 'auth.account_locked',
+            423,
+            [
+                'locked_until' => $e->lockedUntil?->toIso8601String(),
+                'retry_after_seconds' => $e->remainingMinutes === null ? null : $e->remainingMinutes * 60,
+                'permanent' => $e->isPermanent(),
+            ],
+            ['minutes' => $e->remainingMinutes]
+        );
+    }
+
     /**
      * 새로운 사용자를 등록시킵니다.
      *
@@ -178,7 +195,11 @@ class AuthController extends AuthBaseController
      */
     public function refresh(AuthenticatedRequest $request): JsonResponse
     {
-        $data = $this->authService->refreshToken($request->user());
+        try {
+            $data = $this->authService->refreshToken($request->user());
+        } catch (AccountLockedException $e) {
+            return $this->lockedResponse($e);
+        }
 
         // 사용자 정보는 Resource로, 토큰은 그대로
         if (isset($data['user'])) {