전면 보안 감사 + 수정 — IDOR 5 곳 · 저장형 XSS · 메모리/스토리지 누수 · 클린코드 점검 — POP-SPOT v2.22

// v2.22 — SecurityUtils.java (신규 공용 헬퍼)
public class SecurityUtils {
  public static Long currentUserId(Authentication auth) {
    if (auth == null || !auth.isAuthenticated()) {
      throw new UnauthorizedException("로그인 필요");
    }
    return Long.parseLong(auth.getName());
  }

  public static void requireSelf(Authentication auth, Long requestedUserId) {
    Long me = currentUserId(auth);
    if (!me.equals(requestedUserId)) {
      throw new ForbiddenException("다른 사용자 자원 접근 불가");
    }
  }
}

// v2.21 까지 — StampController. 주소창 userId 신뢰 (IDOR)
@PostMapping("/collect")
public StampResponse collect(
    @RequestParam Long userId,
//                  ^^^^^^^^^^^^^^^   ?userId=X 을 그대로 수용 → 타인의 ID 로 스탬프 찍는 게 가능했음
    @RequestParam Long popupId) {
  return stampService.collect(userId, popupId);
}

// v2.22 — 주소창 userId 제거. 토큰에서 추출
@PostMapping("/collect")
public StampResponse collect(
    Authentication auth,
//  ^^^^^^^^^^^^^^^^^^^   Spring 자동 주입. JWT 필터가 검증 후 주입한 객체
    @RequestParam Long popupId) {
  Long userId = SecurityUtils.currentUserId(auth);
  //            ^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^   공용 헬퍼 — auth.getName() 결과를 Long 으로
  return stampService.collect(userId, popupId);
}

// v2.21 까지 — MateService.createPost. DTO 안 userId 신뢰
public MatePost createPost(MatePostRequest dto) {
  return matePostRepository.save(
      MatePost.of(dto.getUserId(), dto.getTitle(), dto.getContent()));
//                ^^^^^^^^^^^^^^^^                                     클라이언트 입력 그대로
}

// v2.22 — userId 별도 인자로 분리. 컨트롤러가 토큰에서 추출하여 주입
public MatePost createPost(MatePostRequest dto, Long userId) {
  return matePostRepository.save(
      MatePost.of(userId, dto.getTitle(), dto.getContent()));
//                ^^^^^^^                                     토큰 기반 — 클라이언트에서 온 입력 안 쓰임
  // MatePostRequest DTO 의 userId 필드는 아예 제거 — 아키텍처 수준 안전
}

// v2.21 까지 — KakaoRoadview.tsx. popup.name 을 날것으로 주입
overlay.setContent(`<div class="popup-name">${popup.name}</div>`);
//                                            ^^^^^^^^^^^^^^^^   HTML 이스케이프 없이 삽입 → 저장형 XSS 취약점

popup.name = "성수 웰머 테마파크<img src=x onerror=alert(document.cookie)>"

// v2.22 — src/lib/escapeHtml.ts (신규)
export function escapeHtml(unsafe: string): string {
  return unsafe
    .replace(/&/g, '&')
    .replace(/</g, '&lt;')
    .replace(/>/g, '&gt;')
    .replace(/"/g, '&quot;')
    .replace(/'/g, '&#039;');
}

// v2.22 — KakaoRoadview.tsx 이스케이프 적용
overlay.setContent(`<div class="popup-name">${escapeHtml(popup.name)}</div>`);
//                                            ^^^^^^^^^^^^^^^^^^^^^^^^^   <script> → &lt;script&gt; 로 변환·실행 차단

// v2.17 — v2.21 까지 — AuthService. 이메일별 로그인 실패 카운트 무제한 증가
private final Map<String, FailureRecord> loginAttempts = new ConcurrentHashMap<>();
//                                                       ^^^^^^^^^^^^^^^^^^^^^^^^   만료 타임아웃 없으면 OOM 위험

// v2.22 — Caffeine 으로 교체. 크기 한도 + 자동 만료
private final Cache<String, FailureRecord> loginAttempts =
    Caffeine.newBuilder()
        .maximumSize(10_000)
//                   ^^^^^^   1만 개 넘으면 LRU 제거 — 적대적 입력도 무한히 남아있을 수 없음
        .expireAfterWrite(Duration.ofMinutes(30))
//                                            ^^   30분 동안 재시도 없는 email 은 자동 제거
        .build();

public AuthResult login(String email, String rawPassword) {
  FailureRecord rec = loginAttempts.getIfPresent(email);
  // 나머지는 동일
}

// v2.21 까지 — LogTailService.subscribe. 타임아웃 없음, 에러 콜백 없음
private final List<SseEmitter> emitters = new CopyOnWriteArrayList<>();

public SseEmitter subscribe() {
  SseEmitter em = new SseEmitter(0L);  // 0L = 타임아웃 없음 → 영원히 유지
  emitters.add(em);
  em.onCompletion(() -> emitters.remove(em));
  em.onTimeout(() -> emitters.remove(em));
  // 이 둘만 명시 — onError 는 빠짐 → 브라우저 강제 종료·네트워크 에러 등 이면 제거 안 됨
  return em;
}

// v2.22 — 하드 타임아웃 + 상한 + onError 보완
private static final int MAX_SUBSCRIBERS = 50;
private static final Duration TIMEOUT = Duration.ofMinutes(30);

public SseEmitter subscribe() {
  if (emitters.size() >= MAX_SUBSCRIBERS) {
    throw new TooManyRequestsException("동시 구독 제한 초과");
  }
  SseEmitter em = new SseEmitter(TIMEOUT.toMillis());
  emitters.add(em);
  em.onCompletion(() -> emitters.remove(em));
  em.onTimeout(() -> emitters.remove(em));
  em.onError(t -> emitters.remove(em));
  return em;
}

// v2.22 — src/lib/api.ts. same-origin 가드
export async function apiFetch(path: string, init?: RequestInit) {
  const url = new URL(path, window.location.origin);
  if (url.origin !== window.location.origin) {
    throw new Error('외부 도메인 호출 거부');
  }
  return fetch(url.toString(), {
    ...init,
    credentials: 'include',
  });
}

// v2.22 — OAuth 콜백 직후 주소창의 토큰·코드 제거
useEffect(() => {
  const params = new URLSearchParams(window.location.search);
  ['access_token', 'token', 'code', 'state'].forEach(k => params.delete(k));
  const clean = window.location.pathname
              + (params.toString() ? `?${params}` : '');
  window.history.replaceState({}, '', clean);
}, []);

-- v2.22 — V14__mate_post_reported_by.sql
ALTER TABLE mate_post
  ADD COLUMN reported_by JSONB DEFAULT '[]'::jsonb;
--           ^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^   v2.18.1 의 reportCount 그대로는 동일인 중복 신고도 카운트되어 신고 어분·주·어·· ··· ·

-- 기존 reportCount 대체
CREATE INDEX idx_mate_post_reported_by ON mate_post USING GIN (reported_by);

// v2.22 — PopupNormalizationService.java. 크롤링 입력 HTML 정제
private String sanitize(String raw) {
  if (raw == null) return null;
  String trimmed = raw.trim();
  // HTML 태그 제거
  String withoutHtml = trimmed.replaceAll("<[^>]+>", "");
  // 길이 상한
  if (withoutHtml.length() > 200) {
    withoutHtml = withoutHtml.substring(0, 200);
  }
  return withoutHtml;
}