같은 IDOR 패턴이 MyCourse · Wishlist 에 그대로 남아 있던 사건 + OAuth 후 권한 재검증 — POP-SPOT v2.9

// v2.8 까지 — Wishlist IDOR 잠재
@GetMapping("/wishlist")
public List<Wishlist> get(@RequestParam Long userId) {
    //                    ^^^^^^^^^^^^^^^^^^^^^^^^^^   ?userId=7 쿼리 파라미터 그대로 수용
    //                                                  공격자: ?userId=7,8,9,... 다르게 타인의 위시리스트 조회 가능
    return wishlistRepository.findByUserId(userId);
    //                       ^^^^^^^^^^^^^^^^^^^^^^   권한 검사 없이 SELECT * FROM wishlist WHERE user_id=?
    //                                                 타인의 입력만 일치하면 그대로 반환 — 대표적 IDOR
}

// v2.9 — 주소창 userId 무시, 토큰 기반 + 서비스 계층 소유자 검사
@GetMapping("/wishlist")
public List<WishlistResponseDto> get(@AuthenticationPrincipal Long tokenUserId) {
//          ^^^^^^^^^^^^^^^^^^^^                              ^^^^^^^^^^^^^^
//          |                                                 |
//          |                                                 +-- Spring Security 가 주입. 토큰 검증 필터에서 구축됨
//          |                                                     클라이언트가 조작할 수 없음·필자 서명된 JWT 안 주인 ID
//          +-- DTO 로 변환된 레스폰스 (엔티티 직접 노출 아님 — LAZY 관계·내부 필드 노출 머멑·서택 어·차·단)
    return wishlistService.findOwnedBy(tokenUserId);
    //                     ^^^^^^^^^^^^^^^^^^^^^^^^   메서드명이 도메인 원칙 설명: "소유자가 이 사용자인 wishlist 만 조회"
    //                                                 서비스 계층이 @Transactional(readOnly=true) 로 읽기 전용 설정
    //                                                 wishlist.userId == tokenUserId 조건 일치 안 되면 비어있는 리스트 반환
}

// v2.9 — AuthGuard.tsx. 비공개 페이지에 들어올 때 권한 재검증
useEffect(() => {
  fetch('/api/auth/me', { credentials: 'include' })
  // 위: 서버에 "나는 누구야?" 물음. credentials: 'include' 는 쿼키 (JWT 세션) 함께 전송
  //      서버가 이 쿼키를 검증하고 실제 사용자 권한 정보를 응답 — 클라이언트가 조작 불가
    .then(r => r.ok ? r.json() : null)
    //      ^^^^^^   ^^^^^^^^   200 OK 면 JSON 파싱, 그외엔 null (토큰 만료·이상)
    .then(user => {
      // localStorage 의 role/isPremium 은 무시 — 클라이언트에서 조작할 수 있는 값이므로 근거로 쓰면 안 됨
      if (!user || !allowedRoles.includes(user.role)) {
        //  ^^^^^   ^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^
        //  |       |
        //  |       +-- 서버가 답한 user.role 이 allowedRoles 에 들어 있는지 검사
        //  +-- user 가 null 이면 차단 (로그아웃·토큰 제거·세션 만료 등 모두 포함)
        router.replace('/');
        // 위: 권한 부족 → 루트로 돌려보냄. replace 는 이전 페이지 히스토리에 남기지 않음
      }
    });
}, []);
// 필요 비용: 페이지당 한 번의 추가 호출. 그러나 권한 속임수 차단이라 감수할 만한 비용

// v2.9 — GlobalExceptionHandler 에 외부 서비스 장애 전용 핸들러 추가
@ExceptionHandler({ ExternalServiceException.class })
//                  ^^^^^^^^^^^^^^^^^^^^^^^^^^^^   AI 호출·메일 발송 등 외부 장애 전용 커스텀 예외
//                                                  v2.9 이전에는 RuntimeException 으로 더붙으면서 일괄 400 으로 이상
h andled
public ResponseEntity<ErrorResponse> handleExternal(ExternalServiceException e) {
    return ResponseEntity.status(409).body(
    //                          ^^^^   HTTP 409 Conflict — "서버 쪽 일시 상태 트래픽 충돌/장애"
    //                                   400 은 클라이언트의 입력 오류 의미 — 사용자가 리트라이 해도 결과가 같음
    //                                   409 는 "잠시 후 다시" 가 함식된 상태 코드라 재시도 유도가 명확
        new ErrorResponse("잠시 후 다시 시도해 주세요."));
        // 위: 메시지 포맷이 공통이라 프론트 에서 일괄 섬세·표시·재시도 UI 처리 가능
}