운영 출시 직전 12 개 핫픽스 — 회원 탈퇴(PIPA) · DB 자동 백업 · SLA 알림 · CSP / HSTS · brute-force 잠금 · SEO 보강 — POP-SPOT v2.17 (+v2.17.2/3)

// v2.17 — UserController.withdraw() 신규. PIPA §17 의무
@DeleteMapping("/me")
@Transactional
public void withdraw(Authentication auth) {
  Long userId = Long.parseLong(auth.getName());
  User user = userRepository.findById(userId).orElseThrow();

  // 1) 식별 정보 즉시 익명화
  String hash = sha256Hex(user.getEmail() + UUID.randomUUID());
  user.anonymize(
      "deleted-" + hash.substring(0, 12) + "@withdrawn.local",
      "탈퇴회원",
      null  // 프로필 사진
  );

  // 2) 재로그인 차단 플래그
  user.markWithdrawn(LocalDateTime.now(clock));

  // 3) 작성 콘텐츠는 "탈퇴회원" 으로 마스킹 (삭제는 보류)
}

// v2.17 — 회원 탈퇴 2단계 확인
async function handleWithdraw() {
  const first = await notify.confirm(
    '정말 탈퇴할까요? 복구는 안 됩니다.'
  );
  if (!first) return;

  const second = await notify.confirm(
    '한 번 더 확인 — 작성한 글은 "탈퇴회원" 으로 표시됩니다.'
  );
  if (!second) return;

  await fetch('/api/v1/users/me', {
    method: 'DELETE',
    credentials: 'include',
  });
  await logout();
  router.replace('/');
}

// v2.17 — DatabaseBackupScheduler 신규. 매일 03:00 KST 덤프
@Component
@Profile("prod")  // 운영 환경에서만
public class DatabaseBackupScheduler {

  @Value("${BACKUP_DIR:/var/backups/popspot}")
  private String backupDir;

  @Scheduled(cron = "0 0 3 * * *", zone = "Asia/Seoul")
  public void backup() throws IOException, InterruptedException {
    String stamp = LocalDate.now().toString();  // 2026-05-24
    Path out = Path.of(backupDir, "popspot-" + stamp + ".sql.gz");

    ProcessBuilder pb = new ProcessBuilder(
        "sh", "-c",
        "pg_dump $POPSPOT_DB_URL | gzip > " + out
    );
    pb.environment().put("PGPASSWORD", dbPassword);
    Process p = pb.start();
    p.waitFor();

    deleteOlderThan(7);
  }
}

// v2.17 — SLA 알림 cron. 매시간 24시간 초과 항목 검사·알림
@Scheduled(cron = "0 0 * * * *", zone = "Asia/Seoul")  // 매시간
public void notifyOverdueItems() {
  LocalDateTime threshold = LocalDateTime.now(clock).minusHours(24);

  long pendingFeedback = feedbackRepository
      .countByStatusAndCreatedAtBefore("received", threshold);
  long pendingTakedown = takedownRepository
      .countByStatusAndRequestedAtBefore("PENDING", threshold);

  if (pendingFeedback + pendingTakedown == 0) return;

  emailService.sendOperatorAlert(
      "[SLA] 24h 초과 항목",
      "피드백 " + pendingFeedback + " 건, takedown " + pendingTakedown + " 건"
  );
}

// v2.17 — next.config.ts. CSP/HSTS/X-Frame 등 보안 헤더 일괄 설정
const CSP_DIRECTIVES = [
  "default-src 'self'",
  "script-src 'self' 'unsafe-inline' dapi.kakao.com www.youtube.com s.ytimg.com sdk.scdn.co",
  "style-src 'self' 'unsafe-inline' fonts.googleapis.com",
  "img-src 'self' data: blob: https:",
  "connect-src 'self' wss: https://api.popspot.co.kr accounts.spotify.com",
  "frame-src 'self' www.youtube.com sdk.scdn.co accounts.google.com",
  "font-src 'self' fonts.gstatic.com",
].join('; ');

async headers() {
  return [{
    source: '/(.*)',
    headers: [
      { key: 'Content-Security-Policy', value: CSP_DIRECTIVES },
      { key: 'Strict-Transport-Security',
        value: 'max-age=31536000; includeSubDomains; preload' },
      { key: 'X-Frame-Options', value: 'SAMEORIGIN' },
      { key: 'X-Content-Type-Options', value: 'nosniff' },
      { key: 'Permissions-Policy',
        value: 'geolocation=(self), microphone=(), camera=()' },
    ],
  }];
}

// v2.17 — AuthService. brute-force 잠금. (v2.22 에서 Caffeine 으로 교체됨)
private final Map<String, FailureRecord> loginAttempts =
    new ConcurrentHashMap<>();

private static final int MAX_FAILURES = 5;
private static final Duration LOCK_DURATION = Duration.ofMinutes(15);

public AuthResult login(String email, String rawPassword) {
  FailureRecord rec = loginAttempts.get(email);
  if (rec != null && rec.isLocked(clock)) {
    throw new TooManyRequestsException(
        "잠시 후 다시 시도 (남은 시간 " + rec.remainingSeconds(clock) + "s)"
    );
  }
  try {
    User user = userRepository.findByEmail(email).orElseThrow();
    if (!passwordEncoder.matches(rawPassword, user.getPasswordHash())) {
      registerFailure(email);
      throw new UnauthorizedException("이메일 또는 비밀번호 확인");
    }
    loginAttempts.remove(email);  // 성공 시 리셋
    return AuthResult.of(user);
  } catch (NoSuchElementException ex) {
    registerFailure(email);
    throw new UnauthorizedException("이메일 또는 비밀번호 확인");
  }
}

// v2.17 — layout.tsx <head> 에 JSON-LD 인라인
<script
  type="application/ld+json"
  dangerouslySetInnerHTML={{
    __html: JSON.stringify({
      '@context': 'https://schema.org',
      '@graph': [
        {
          '@type': 'WebSite',
          name: '팝스팟',
          alternateName: 'POP-SPOT',
          url: 'https://popspot.co.kr',
          potentialAction: {
            '@type': 'SearchAction',
            target: 'https://popspot.co.kr/?q={query}',
            'query-input': 'required name=query',
          },
        },
        {
          '@type': 'Organization',
          name: '팝스팟',
          url: 'https://popspot.co.kr',
          logo: 'https://popspot.co.kr/logo.png',
        },
      ],
    }),
  }}
/>

<nav className="flex md:justify-center
                overflow-x-auto md:overflow-visible
                scrollbar-none">
  {/* v2.17 — 모바일 가로 스크롤 BottomDock */}
  {TABS.map(tab => (
    <button className="flex-shrink-0 w-11 md:w-12">…</button>
  ))}
</nav>

// v2.17 — 의존성 추가하면서 명시 생성자도 고치다가 Lombok 과 중복 구조
@RequiredArgsConstructor  // Lombok — final 필드 기반 생성자 자동 생성
public class UserProfileController {
  private final UserProfileService service;
  public UserProfileController(UserProfileService service, /* 추가 */) { … }
  // 위: 명시 생성자 + Lombok 이 자동 생성한 생성자 → "duplicate constructor" 컴파일 에러
}

// v2.17.2 — 명시 생성자만 남기고 어노테이션 제거
// public class UserProfileController {
//   private final UserProfileService service;
//   public UserProfileController(UserProfileService service) { this.service = service; }
// }