[POP-SPOT] OAuth2 소셜 로그인 + JWT 인증 도메인 배포하면서 다 뜯어고친 썰

// OAuth2SuccessHandler.java (초기 버전)
// 소셜 로그인 성공했을 때 실행되는 코드
@Override
public void onAuthenticationSuccess(...) {
    String token = jwtProvider.generateToken(userId); // JWT 출입증 발급
    
    Cookie cookie = new Cookie("accessToken", token);
    cookie.setHttpOnly(true);  // JavaScript에서 접근 못하게 막음 (보안)
    cookie.setSecure(true);    // HTTPS에서만 전송
    cookie.setPath("/");       // 모든 경로에서 사용 가능
    response.addCookie(cookie);
    
    // 쿠키 심어놓고 프론트로 이동
    getRedirectStrategy().sendRedirect(request, response, "https://popspot.co.kr");
}

// OAuth2SuccessHandler.java (변경 후)
@Override
public void onAuthenticationSuccess(...) {
    String accessToken = jwtProvider.generateToken(userId); // JWT 발급
    
    // 프론트 주소에 ?token=발급된토큰 을 달아서 이동
    String targetUrl = UriComponentsBuilder
        .fromUriString("https://popspot.co.kr/oauth/callback")
        .queryParam("token", accessToken) // 주소창에 토큰 붙임
        .build().toUriString();
    
    getRedirectStrategy().sendRedirect(request, response, targetUrl);
}

// OAuthCallbackPage.tsx
const searchParams = useSearchParams();

useEffect(() => {
    const token = searchParams.get("token"); // 주소창에서 token 값 꺼내기
    if (token) {
        localStorage.setItem("token", token); // 브라우저 저장소에 보관
        window.location.href = "/"; // 메인 페이지로 이동 (강제 새로고침)
    }
}, []);

// JwtAuthenticationFilter.java
// 모든 API 요청이 들어올 때마다 실행됨
@Override
protected void doFilterInternal(HttpServletRequest request, ...) {
    
    // 요청 헤더에서 토큰 꺼내기
    String bearerToken = request.getHeader("Authorization");
    
    // "Bearer " 로 시작하면 그 뒤가 실제 토큰
    // 예: "Bearer abc123xyz" → "abc123xyz" 만 추출
    if (bearerToken != null && bearerToken.startsWith("Bearer ")) {
        String token = bearerToken.substring(7); // "Bearer " 7글자 제거
        
        try {
            // 토큰 해독해서 사용자 정보 꺼내기
            Claims claims = Jwts.parserBuilder()
                .setSigningKey(secretKey) // 비밀 키로 토큰 검증
                .build()
                .parseClaimsJws(token)
                .getBody();
            
            String userId = claims.getSubject(); // 사용자 ID
            String role = claims.get("role", String.class); // 권한 (USER or ADMIN)
            
            // Spring Security는 권한 앞에 "ROLE_" 이 붙어야 인식함
            // DB에 "ADMIN" 으로 저장돼있으면 "ROLE_ADMIN" 으로 변환
            if (!role.startsWith("ROLE_")) {
                role = "ROLE_" + role;
            }
            
            // "이 사람은 인증된 사용자야" 라고 Spring Security에 등록
            UsernamePasswordAuthenticationToken auth = 
                new UsernamePasswordAuthenticationToken(userId, null,
                    List.of(new SimpleGrantedAuthority(role)));
            SecurityContextHolder.getContext().setAuthentication(auth);
            
        } catch (Exception e) {
            // 토큰이 만료됐거나 위조된 경우 → 그냥 비로그인 상태로 처리
            log.warn("JWT 파싱 실패: {}", e.getMessage());
        }
    }
    
    filterChain.doFilter(request, response); // 다음 단계로 넘김
}

.authorizeHttpRequests(auth -> auth
    // 1순위: 사전 확인 요청(OPTIONS)은 무조건 통과
    .requestMatchers(CorsUtils::isPreFlightRequest).permitAll()
    // 2순위: 관리자 전용 주소 (구체적인 규칙 먼저)
    .requestMatchers("/api/admin/**").hasRole("ADMIN")
    .requestMatchers("/actuator/**").hasRole("ADMIN")
    // 3순위: 누구나 접근 가능한 공개 주소
    .requestMatchers("/", "/api/**", "/login/**", "/oauth2/**").permitAll()
    // 4순위: 나머지는 로그인 필요 (가장 넓은 규칙은 마지막)
    .anyRequest().authenticated()
)

네이버 콘솔:    http://localhost:8080/login/oauth2/code/naver
application.yml: http://localhost:8080/login/oauth2/code/naver
                 ↑ 이 두 줄이 완전히 똑같아야 함