🔐 Security : SMS 토큰 소유권 경계 정리

[DoHeonLim]

Summary

SMS 로그인 토큰과 프로필 전화번호 인증 토큰의 소유권 경계를 분리하고, 인증 전 User.phone 점유가 발생하지 않도록 정리했습니다.

이전 인증 rate limit 보강 이후 검토 과정에서 확인한 SMS 토큰 목적 혼용 가능성과 rate limit 기록 transaction 범위를 보정하는 후속 작업입니다.

Changes

[📱 SMS]

• SMS 로그인 토큰이 인증 전 User.phone을 점유하지 않도록 정리했습니다.
• SMS 로그인 토큰과 프로필 전화번호 인증 토큰의 userId 목적을 분리했습니다.
• 프로필 인증 토큰이 SMS 로그인 검증에서 소비되지 않도록 차단했습니다.
• 로그인 SMS 발송 실패 시 이전 토큰의 userId까지 조건부로 복구하도록 보강했습니다.

[🗄️ Database]

• SMSToken.userId nullable 전환 migration을 추가했습니다.
• 로그인 SMS 토큰은 userId 없이 저장하고, 검증 성공 시 전화번호 기준 User를 조회 또는 생성하도록 정리했습니다.

[🔐 Rate Limit]

• 오래된 rate limit 기록 삭제를 advisory lock transaction 밖으로 분리했습니다.
• PostgreSQL transaction 내부 삭제 실패가 이후 조회/기록에 영향을 주지 않도록 정리했습니다.
• rate limit 판단 transaction은 lock, 최근 요청 조회, 현재 요청 기록만 수행하도록 단순화했습니다.

[☔️ Test]

• SMS 인증 전 User 생성 방지 회귀 테스트를 추가했습니다.
• 프로필 토큰 userId 잔존 및 로그인 목적 혼용 방지 테스트를 추가했습니다.
• SMS 발송 실패 rollback 회귀 테스트를 보강했습니다.

Verification

• npx prisma generate
• npm run test -- features/auth/service/sms.test.ts features/auth/service/rateLimit.test.ts features/user/service/phone.test.ts
• npx tsc --noEmit
• npm run lint
• npm run test
• npx prisma validate
• git diff --check

[vercel]

The latest updates on your projects. Learn more about Vercel for GitHub.

Project	Deployment	Actions	Updated (UTC)
board-port	Ready	Preview	Jun 29, 2026 9:36am