fix(core,board,ecommerce,page,kginicis): 정책값 하드코딩·계약 분리 결함 일괄 수정

관리자 환경설정이 값을 저장은 하지만 실제 동작에는 닿지 않던 결함군을 정리했다. 설정 화면(min/max)·저장 검증(FormRequest)·런타임 적용(Service) 세 계층이 각자 리터럴을 들고 있어 서로 조용히 갈라지던 것이 공통 원인이다. 경계값 SSoT 도입: - config/core.php `settings_limits` 를 단일 출처로 두고, FormRequest 는 이 값으로 규칙을 만들고 화면은 설정 응답의 `_meta.limits` 로 같은 값을 받아 바인딩한다. - 게시판·이커머스도 각 모듈 config 의 limits 를 동일 구조로 노출한다. 적용되지 않던 정책을 실제로 적용: - 비밀번호 최소 길이·특수문자 필수(신규 지정 7개 경로. 로그인은 제외 — 정책을 올렸을 때 기존 회원이 자기 계정에 접근조차 못 하는 데드락을 막기 위함) - 계정 잠금 시간 0 = 무한대(전용 컬럼 분리. timestamp 상한과 NULL 규약 때문에 기존 컬럼 재사용이 불가능하다) + 관리자 수동 해제 경로 - 업로드 최대 크기·허용 확장자, 게시판 첨부 개수·댓글 깊이, 페이지 첨부 정책, 장바구니 수량·구매 한도, 마일리지 사용 한도, 주문 부가세 파생 결함: - 큐 Job(sync 드라이버)이 진행 중인 요청의 Request 바인딩을 덮어써, 뒤이어 실행되는 훅 리스너가 헤더를 잃고 조용히 건너뛰었다. Job 이 원 바인딩을 복원하도록 고치고, 전송 헤더가 필요한 리스너는 동기 실행으로 선언한다. - 확장 업데이트 실패 시 상태만 되돌리고 상태 캐시를 비우지 않아, 그 확장의 관리자 화면만 캐시 TTL(기본 하루) 동안 404 로 남았다. 실패 경로에도 무효화를 대칭으로 두고, 빈 목록 자체를 캐시하지 않는다. - 글 작성 시 첨부 파일이 Service 로 전달되지 않아 검증·권한은 통과하고 첨부만 사라졌다. - 환경설정 저장 실패 안내가 내부 설정 키를 그대로 노출했다(105개 항목에 라벨 부여). 재발 방지: - audit 룰 3종(레이아웃 경계 리터럴 / FormRequest 경계 불일치 / Service 재클램프) - 테스트 실행 범위 강제 훅(check-test-scope) - 트러블슈팅 사례 2건(큐 Job 요청 오염 / 확장 상태 캐시 고착) 공개 이슈: gnuboard/g7
2026-07-30 07:52:24 +09:00
1 parent 5d140dfbe6
commit d17ea28da5
@@ -4,11 +4,11 @@ namespace App\Http\Controllers\Api\Admin;

 use App\Exceptions\Auth\AccountLockedException;
 use App\Http\Controllers\Api\Base\AdminBaseController;
+use App\Http\Requests\Auth\AuthenticatedRequest;
 use App\Http\Requests\Auth\LoginRequest;
 use App\Http\Resources\UserResource;
 use App\Services\AuthService;
 use Illuminate\Http\JsonResponse;
-use Illuminate\Http\Request;
 use Illuminate\Validation\ValidationException;

 class AuthController extends AdminBaseController
@@ -22,7 +22,7 @@ class AuthController extends AdminBaseController
    /**
     * 관리자를 로그인시킵니다.
     *
-     * @param LoginRequest $request 로그인 요청 데이터
+     * @param  LoginRequest  $request  로그인 요청 데이터
     * @return JsonResponse 로그인 결과와 관리자 정보, 토큰을 포함한 JSON 응답
     */
    public function login(LoginRequest $request): JsonResponse
@@ -36,7 +36,7 @@ class AuthController extends AdminBaseController
            $user = $data['user'];

            // 관리자 권한 확인
-            if (!$user->isAdmin()) {
+            if (! $user->isAdmin()) {
                return $this->forbidden('auth.admin_required');
            }

@@ -45,10 +45,17 @@ class AuthController extends AdminBaseController

            return $this->success('auth.admin_login_success', $data);
        } catch (AccountLockedException $e) {
-            return $this->error('auth.account_locked', 423, [
-                'locked_until' => $e->lockedUntil->toIso8601String(),
-                'retry_after_seconds' => $e->remainingMinutes * 60,
-            ], ['minutes' => $e->remainingMinutes]);
+            // 영구 잠금(무한대 설정)은 해제 시각·잔여 시간이 없다 — null 그대로 노출.
+            return $this->error(
+                $e->isPermanent() ? 'auth.account_locked_permanently' : 'auth.account_locked',
+                423,
+                [
+                    'locked_until' => $e->lockedUntil?->toIso8601String(),
+                    'retry_after_seconds' => $e->remainingMinutes === null ? null : $e->remainingMinutes * 60,
+                    'permanent' => $e->isPermanent(),
+                ],
+                ['minutes' => $e->remainingMinutes]
+            );
        } catch (ValidationException $e) {
            return $this->unauthorized('auth.login_failed');
        }
@@ -57,10 +64,10 @@ class AuthController extends AdminBaseController
    /**
     * 관리자를 로그아웃시킵니다.
     *
-     * @param Request $request HTTP 요청
+     * @param  AuthenticatedRequest  $request  인증 세션 요청 (본문 입력 없음)
     * @return JsonResponse 로그아웃 성공 메시지
     */
-    public function logout(Request $request): JsonResponse
+    public function logout(AuthenticatedRequest $request): JsonResponse
    {
        $this->authService->logout($request->user());

@@ -70,10 +77,10 @@ class AuthController extends AdminBaseController
    /**
     * 현재 로그인된 관리자의 정보를 반환합니다.
     *
-     * @param Request $request HTTP 요청
+     * @param  AuthenticatedRequest  $request  인증 세션 요청 (본문 입력 없음)
     * @return JsonResponse 관리자 정보를 포함한 JSON 응답
     */
-    public function user(Request $request): JsonResponse
+    public function user(AuthenticatedRequest $request): JsonResponse
    {
        $user = $request->user();

@@ -89,10 +96,10 @@ class AuthController extends AdminBaseController
    /**
     * 관리자의 인증 토큰을 갱신합니다.
     *
-     * @param Request $request HTTP 요청
+     * @param  AuthenticatedRequest  $request  인증 세션 요청 (본문 입력 없음)
     * @return JsonResponse 새로운 토큰과 관리자 정보를 포함한 JSON 응답
     */
-    public function refresh(Request $request): JsonResponse
+    public function refresh(AuthenticatedRequest $request): JsonResponse
    {
        try {
            $data = $this->authService->refreshToken($request->user());
@@ -101,6 +108,7 @@ class AuthController extends AdminBaseController
            if (isset($data['user'])) {
                $data['user'] = new UserResource($data['user']);
            }
+
            return $this->success('common.success', $data);
        } catch (ValidationException $e) {
            return $this->unauthorized('auth.unauthenticated');
@@ -42,6 +42,7 @@ class SettingsController extends AdminBaseController
        try {
            $settings = $this->settingsService->getAllSettings();
            $settings['available_drivers'] = $this->driverRegistryService->getAllAvailableDrivers();
+            $settings['_meta'] = ['limits' => config('core.settings_limits', [])];

            return $this->success('settings.fetch_success',
                (new SettingsResource($settings))->toArray(request())
@@ -69,6 +70,7 @@ class SettingsController extends AdminBaseController
                // 저장 후 전체 설정 반환 (관리자 UI 상태 업데이트용)
                $allSettings = $this->settingsService->getAllSettings();
                $allSettings['available_drivers'] = $this->driverRegistryService->getAllAvailableDrivers();
+                $allSettings['_meta'] = ['limits' => config('core.settings_limits', [])];

                return $this->success('settings.save_success', [
                    'settings' => $allSettings,
@@ -129,6 +129,30 @@ class UserController extends AdminBaseController
        }
    }

+    /**
+     * 사용자의 계정 잠금을 해제합니다.
+     *
+     * 로그인 실패 누적으로 잠긴 계정(특히 잠금 시간 0 = 무한대 설정으로 영구 잠긴 계정)을
+     * 관리자가 수동으로 풀어 줍니다. 이 경로가 없으면 영구 잠금 계정은 성공 로그인 자체가
+     * 불가하므로 복구 수단이 없습니다.
+     *
+     * @param  User  $user  잠금을 해제할 사용자 모델
+     * @return JsonResponse 갱신된 사용자 정보를 포함한 JSON 응답
+     */
+    public function unlock(User $user): JsonResponse
+    {
+        try {
+            $unlocked = $this->userService->unlockAccount($user);
+
+            return $this->successWithResource(
+                'auth.account_unlocked',
+                new UserResource($unlocked)
+            );
+        } catch (Exception $e) {
+            return $this->error('user.update_failed', 500, $e, ['error' => $e->getMessage()]);
+        }
+    }
+
    /**
     * 사용자를 삭제합니다.
     *
@@ -4,6 +4,7 @@ namespace App\Http\Controllers\Api\Auth;

 use App\Exceptions\Auth\AccountLockedException;
 use App\Http\Controllers\Api\Base\AuthBaseController;
+use App\Http\Requests\Auth\AuthenticatedRequest;
 use App\Http\Requests\Auth\ForgotPasswordRequest;
 use App\Http\Requests\Auth\LoginRequest;
 use App\Http\Requests\Auth\RegisterRequest;
@@ -12,7 +13,6 @@ use App\Http\Requests\Auth\ValidateResetTokenRequest;
 use App\Http\Resources\UserResource;
 use App\Services\AuthService;
 use Illuminate\Http\JsonResponse;
-use Illuminate\Http\Request;
 use Illuminate\Validation\ValidationException;

 class AuthController extends AuthBaseController
@@ -52,10 +52,17 @@ class AuthController extends AuthBaseController

            return $this->success('auth.login_success', $data);
        } catch (AccountLockedException $e) {
-            return $this->error('auth.account_locked', 423, [
-                'locked_until' => $e->lockedUntil->toIso8601String(),
-                'retry_after_seconds' => $e->remainingMinutes * 60,
-            ], ['minutes' => $e->remainingMinutes]);
+            // 영구 잠금(무한대 설정)은 해제 시각·잔여 시간이 없다 — null 그대로 노출.
+            return $this->error(
+                $e->isPermanent() ? 'auth.account_locked_permanently' : 'auth.account_locked',
+                423,
+                [
+                    'locked_until' => $e->lockedUntil?->toIso8601String(),
+                    'retry_after_seconds' => $e->remainingMinutes === null ? null : $e->remainingMinutes * 60,
+                    'permanent' => $e->isPermanent(),
+                ],
+                ['minutes' => $e->remainingMinutes]
+            );
        } catch (ValidationException $e) {
            return $this->unauthorized('auth.login_failed');
        }
@@ -84,10 +91,10 @@ class AuthController extends AuthBaseController
    /**
     * 사용자를 로그아웃시킵니다. (현재 디바이스만)
     *
-     * @param  Request  $request  HTTP 요청
+     * @param  AuthenticatedRequest  $request  인증 세션 요청 (본문 입력 없음)
     * @return JsonResponse 로그아웃 성공 메시지
     */
-    public function logout(Request $request): JsonResponse
+    public function logout(AuthenticatedRequest $request): JsonResponse
    {
        $this->authService->logout($request->user());

@@ -97,10 +104,10 @@ class AuthController extends AuthBaseController
    /**
     * 모든 디바이스에서 사용자를 로그아웃시킵니다.
     *
-     * @param  Request  $request  HTTP 요청
+     * @param  AuthenticatedRequest  $request  인증 세션 요청 (본문 입력 없음)
     * @return JsonResponse 로그아웃 성공 메시지
     */
-    public function logoutFromAllDevices(Request $request): JsonResponse
+    public function logoutFromAllDevices(AuthenticatedRequest $request): JsonResponse
    {
        $this->authService->logoutFromAllDevices($request->user());

@@ -110,10 +117,10 @@ class AuthController extends AuthBaseController
    /**
     * 현재 로그인된 사용자의 정보를 반환합니다.
     *
-     * @param  Request  $request  HTTP 요청
+     * @param  AuthenticatedRequest  $request  인증 세션 요청 (본문 입력 없음)
     * @return JsonResponse 사용자 정보를 포함한 JSON 응답
     */
-    public function user(Request $request): JsonResponse
+    public function user(AuthenticatedRequest $request): JsonResponse
    {
        $user = $request->user();

@@ -131,10 +138,10 @@ class AuthController extends AuthBaseController
    /**
     * 사용자의 인증 토큰을 갱신합니다.
     *
-     * @param  Request  $request  HTTP 요청
+     * @param  AuthenticatedRequest  $request  인증 세션 요청 (본문 입력 없음)
     * @return JsonResponse 새로운 토큰과 사용자 정보를 포함한 JSON 응답
     */
-    public function refresh(Request $request): JsonResponse
+    public function refresh(AuthenticatedRequest $request): JsonResponse
    {
        $data = $this->authService->refreshToken($request->user());

@@ -2,6 +2,7 @@

 namespace App\Http\Controllers\Api\Public;

+use App\Contracts\Extension\CacheInterface;
 use App\Enums\ExtensionStatus;
 use App\Extension\Helpers\EditorSpecAssembler;
 use App\Extension\Traits\ClearsTemplateCaches;
@@ -12,6 +13,7 @@ use App\Services\TemplateLayoutAttachmentService;
 use App\Services\TemplateService;
 use Illuminate\Http\JsonResponse;
 use Illuminate\Http\Response;
+use Illuminate\Support\Facades\Log;
 use Symfony\Component\HttpFoundation\BinaryFileResponse;

 /**
@@ -40,22 +42,36 @@ class PublicTemplateController extends PublicBaseController
        // 캐시 버전을 키에 포함하여 모듈/플러그인 변경 시 캐시 무효화
        $cacheVersion = request()->query('v', 0);

-        // 캐싱된 응답 반환 (1시간 유효)
-        $routesData = $this->cached(
-            "template.routes.{$identifier}.v{$cacheVersion}",
-            function () use ($identifier) {
-                // Service에서 템플릿 + 모듈 routes 데이터 병합 조회
-                $result = $this->templateService->getRoutesDataWithModules($identifier);
+        // 확장 업데이트 중에는 활성 디렉토리가 잠시 비어 그 모듈의 라우트가 통째로 빠진다.
+        // 그 순간의 응답을 버전 키에 캐시하면 업데이트가 끝난 뒤에도 캐시가 만료될 때까지
+        // 해당 모듈의 모든 화면이 404 로 남는다 — 버전은 이미 올라간 뒤라 스스로 회복되지 않는다.
+        // 따라서 열화 스냅샷은 그대로 응답하되 캐시에 남기지 않는다.
+        $buildRoutes = function () use ($identifier) {
+            $result = $this->templateService->getRoutesDataWithModules($identifier);

-                // 에러 처리
-                if (! $result['success']) {
-                    return ['error' => $result['error']];
-                }
+            if (! $result['success']) {
+                return ['error' => $result['error']];
+            }

-                return ['success' => true, 'data' => $result['data']];
-            },
-            3600
-        );
+            return ['success' => true, 'data' => $result['data']];
+        };
+
+        $cacheKey = "template.routes.{$identifier}.v{$cacheVersion}";
+        $cache = app(CacheInterface::class);
+        $routesData = $cache->get($cacheKey);
+
+        if ($routesData === null) {
+            $routesData = $buildRoutes();
+
+            if ($this->templateService->lastRouteMergeWasDegraded()) {
+                Log::warning('라우트 병합이 열화 상태여서 캐시하지 않습니다 (확장 업데이트 진행 중 추정)', [
+                    'template' => $identifier,
+                    'cache_version' => $cacheVersion,
+                ]);
+            } else {
+                $cache->put($cacheKey, $routesData, 3600);
+            }
+        }

        // 에러 응답 처리
        if (isset($routesData['error'])) {