주소창 권한 위조 / 티켓 도용(IDOR) / X-Forwarded-Host 헤더 위조 한 번에 잡기 — POP-SPOT v2.7 보안 Critical 3 건 (+v2.7.1/2)

// v2.6 까지 — IDOR 취약점. 요청 본문 userId 를 그대로 쓴
@PostMapping("/ticket")
public TicketDto createTicket(@RequestBody TicketRequest req) {
    // 위: TicketRequest 안 userId 는 클라이언트 입력이 그대로 매핑됨
    return ticketService.create(req.getUserId(), req.getType());
    //                          ^^^^^^^^^^^^^^^                  공격자가 손으로 {userId: 7} 이게 고치고
    //                                                            서버에 보내면 7번 사용자의 이름으로 티켓 개설
    //                                                            권한 검증 없이 넘어갈 수 있음 — 이게 바로 IDOR
}

// v2.7 — 요청 본문의 userId 를 완전 무시. 토큰에서 추출한 값을 쓴
@PostMapping("/ticket")
public TicketDto createTicket(
        @AuthenticationPrincipal Long userId,
//      ^^^^^^^^^^^^^^^^^^^^^^^^ ^^^^ ^^^^^^
//      |                        |    |
//      |                        |    +-- 이 명캭으로 Spring 이 자동 주입
//      |                        +-- JwtAuthenticationFilter 에서 토큰 검증 후 setPrincipal(userId) 를 통해 온 값
//      +-- Spring Security 자동 바인딩. SecurityContext 에서 도출됨
        @RequestBody TicketRequest req) {
    return ticketService.create(userId, req.getType());
    //                          ^^^^^^                  토큰에서 나온 값 — 클라이언트가 어떤 userId 를 보내도 이 변수는
    //                                                  그 요청의 토큰 주인만 주면
    // req.getUserId() 는 아예 호출 안 함. 이는 필드이면 TicketRequest 에서 제거하는 게 더 안전
}

// v2.6 까지 — 헤더 검증 없이 그대로 URL 조립
String host = request.getHeader("X-Forwarded-Host");
//                    ^^^^^^^^^ ^^^^^^^^^^^^^^^^^^^   프록시·터널 앞단에서 채워주는 헤더
//                                                    단 공격자가 curl -H 'X-Forwarded-Host: evil.com' 으로 임의 넘김 가능
String redirectUrl = "https://" + host + "/callback";
//                                ^^^^                 이메일·이벤트 통지 링크 등에 이 URL 이 들어감
//                                                      결과: 메일을 본 사용자는 evil.com/callback 으로 자기도 모르게 이동
//                                                      피싱·토큰 탈취 경로 확보됨

// v2.7 — 허용 도메인 패턴에 맞는 요청만 신뢰
private static final Pattern ALLOWED =
    Pattern.compile("^([a-z0-9-]+\\.)?popspot\\.co\\.kr$");
//                  ^ ^^^^^^^^^^^^^^^^ ^^^^^^^^^^^^^^^^^^ $
//                  | |                |                  |
//                  | |                |                  +-- 문자열 끝 (다른 텍스트 이어서 올 수 없음)
//                  | |                +-- popspot.co.kr 정국 도메인 (\\\\. = 실제 점. .  메타문자 회피)
//                  | +-- ([a-z0-9-]+\\\\.)?  — 서브도메인. ? 는 0~1회 (서브도메인 없어도 됨)
//                  |                          예: dev.popspot.co.kr / api.popspot.co.kr / popspot.co.kr 모두 매칭
//                  +-- 문자열 시작 앤커 — 앞에 다른 텍스트 올 수 없음

String host = request.getHeader("X-Forwarded-Host");
String safeHost = (host != null && ALLOWED.matcher(host).matches())
//                ^^^^^^^^^^^^^^^   ^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^
//                |                 |
//                |                 +-- 패턴 일치 검사. 통과하면 true
//                +-- null 검사 먼저. AND 의 단락 평가 (앞 false 면 뒤 호출 안 함)
                   ? host
                   : DEFAULT_HOST;
//                   ^^^^^^^^^^^^   설정의 기본 도메인 (예: popspot.co.kr).
//                                  헤더 조작 가능성이 있으면 그냥 기본값을 쓴다

# v2.7.1 — popspot-backend/.gitattributes. 저장소 수준의 line-ending 고정
*.java text eol=lf
#     ^^^^ ^^^^^^
#     |    |
#     |    +-- 구체적 끝림문자 = LF (\\n) 강제. Windows 개발자가 저장하는 순간 git 이 LF 로 들어감
#     +-- 이 파일들을 이진 아닌 텍스트로 취급
*.gradle text eol=lf
# 위: Spotless 가 LF 기대 — CRLF 파일 있으면 spotlessCheck 가 변경 요청으로 감지해 빌드 실패
#       이 파일을 커밋한 뒤 git add --renormalize . 로 기존 파일도 대량 변환 대상

// v2.7.1 — popspot-backend/build.gradle 에 Spotless 가 LF 기대하도록 명시
spotless {
    java {
        lineEndings 'UNIX'
        //          ^^^^^^   안 적으면 OS 기본을 따름. Windows 개발자 머신에서는 CRLF 생성
        //                   UNIX 명시 시 항상 LF 로 포맓 — .gitattributes 와 이중 안전장
        ...
        // googleJavaFormat('1.22.0').aosp() / removeUnusedImports() / endWithNewline() 등
    }
}