JWT default_secret · CORS * · BCrypt 10 한 번에 갚기, Gemini 키 노출 이후 Groq 로 옮긴 이야기 — POP-SPOT v1.1

# v1.0 — application.properties 에 평문 키 그대로
jwt.secret=default_secret              # 라이브러리 디폴트. 누구나 동일 값 추측 가능
gemini.api-key=AIzaSy_실제키_평문      # 깃에 올라가면 Google 스캐너가 자동 차단
spring.datasource.password=1234         # DB 비밀번호. 레포 접근자에게 노출

# v1.1 — 환경변수만 참조. 디폴트를 일부러 비워 "누락 시 부팅 실패" 를 유도
jwt.secret=${JWT_SECRET:}
#          ^^^^^^^^^^^^^ Spring 표현. 환경변수 JWT_SECRET 값을 읽음
#                        : 뒤에 아무것도 안 적으면 "디폴트 = 빈 문자열"
#                        빈 문자열은 아래 @PostConstruct 에서 차단됨

groq.api-key=${GROQ_API_KEY:}
#            ^^^^^^^^^^^^^^^^ Gemini 대신 Groq. 동일 패턴으로 키 분리

spring.datasource.password=${DB_PASSWORD:}
#                          ^^^^^^^^^^^^^^^ DB 비밀번호도 환경변수로

// v1.1 — 애플리케이션 부팅 직후 시크릿 검증
@PostConstruct  // Spring 이 빈 초기화 끝낸 직후 1회 실행
void validateSecret() {
    if (secret == null || secret.getBytes().length < 32) {
        //  ^^^^^^^^^^^^^^^^   ^^^^^^^^^^^^^^^^^^^^^^^
        //  |                  | UTF-8 기준 바이트 수 (한글 1자=3바이트)
        //  +-- 환경변수 비어있으면 ${JWT_SECRET:} 의 디폴트 빈문자열 → null
        throw new IllegalStateException("JWT_SECRET 은 32 바이트 이상이어야 함");
        // 예외 던지면 Spring 부팅 자체가 멈춤. 시크릿 설정 안 된 채로 서비스가 뜨지 않게 하는 안전장치
    }
}
// 32바이트 = HS256 수학적 안전성 최소치. 이 미만이면 brute-force 키 추측이 이론상 가능

// v1.0 — 정확 일치 하는 origin 만 허용
config.setAllowedOrigins(List.of("https://popspot.vercel.app"));
//     ^^^^^^^^^^^^^^^^^^         ^^^^^^^^^^^^^^^^^^^^^^^^^^^^^
//     |                          이 하나만 허용. preview-abc.vercel.app 은 차단
//     +-- 문자열 완전 일치 검사
// 결과: Vercel 이 PR 마다 자동 생성하는 preview 주소가 전부 차단됨

// v1.1 — 패턴 매칭. 와일드카드 * 허용
config.setAllowedOriginPatterns(List.of(
    "https://popspot.co.kr",      // 운영 도메인
    "https://*.vercel.app"        // *.vercel.app — 모든 Vercel preview 도메인 자동 일치
//             ^ 하위 도메인 한 레벨 와일드카드
));
// setAllowedOriginPatterns 는 setAllowedOrigins 와 달리 패턴 해석 지원
// credentials: include 와도 공존 가능 (Origins 는 credentials 와 공존이 안 됨)

// v1.1 — 환경변수 파싱 (쉼표 구분 주소 목록)
Arrays.stream(allowedOriginsRaw.split(","))
//                              ^^^^^^^^^^ ", " 가 아닌 "," 만 자름
//                                         따라서 " https://b.com" 처럼 앞에 공백 붙은 값이 나올 수 있음
      .map(String::trim)
//         ^^^^^^^^^^^^ 메서드 레퍼런스 — 각 문자열 앞·뒤 공백 제거
//                       이게 없으면 " https://b.com" 으로 저장되어 도메인 매칭 실패
      .filter(s -> !s.isEmpty())
//             ^^^^^^^^^^^^^^^^ 빈 문자열 제거
//                              " ,  , https://b.com " 같은 입력 대응 (주소 없는 구간)
      .toList();
//      ^^^^^^^ 불변 List 로 수집 (Java 16+)

// v1.1 — Bucket4j 로 엔드포인트별 호출 한도 구성
Bandwidth limit = Bandwidth.classic(5, Refill.intervally(5, Duration.ofMinutes(1)));
//                          ^^^^^^^ ^   ^^^^^^^^^^^^^^^^ ^  ^^^^^^^^^^^^^^^^^^^^^
//                          |       |   |                |  |
//                          |       |   |                |  +-- 1분 주기
//                          |       |   |                +----- 1분마다 버킷에 5개씩 리필
//                          |       |   +----------------------- intervally 방식: 주기마다 일괄 충전
//                          |       +--------------------------- 버킷 용량 5 (최대 저장 가능한 토큰 수)
//                          +----------------------------------- 고전적 토큰버킷 알고리즘

Bucket bucket = Bucket.builder().addLimit(limit).build();
//                                       ^^^^^ 위에서 설정한 대역을 버킷에 첨부
//              여러 addLimit() 도 가능 — 예: "초당 1회 + 분당 10회 + 시간당 100회"

if (!bucket.tryConsume(1)) {
//          ^^^^^^^^^^^ 토큰 1개 소비 시도. 성공=true / 남은 토큰 0=false
//                       설정 없이 계속 호출하면 처음 다섯 번까지는 성공, 이후 1분까지 false
    return ResponseEntity.status(429).body("잠시 후 다시 시도");
    //                          ^^^ 429 Too Many Requests — 호출 한도 초과 표준 코드
}
// email 별로 버킷을 따로 관리하려면 ConcurrentHashMap<String, Bucket> 을 쓴다
// v2.22 에서 이 맵이 무한 증가 위험이 있어 Caffeine 으로 교체