🚀 Release : BoardPort v1.2.1 안정화 반영 by DoHeonLim · Pull Request #60 · DoHeonLim/BoardPort

DoHeonLim · 2026-06-29T11:19:06Z

Summary

BoardPort v1.2.0 릴리즈 이후 확인한 접근 경계, 문서 구조, 핵심 E2E, 인증 rate limit, SMS 토큰 소유권 경계를 정리한 안정화 패치입니다.

이번 PR은 신규 대형 기능 추가가 아니라, 릴리즈 후 코드 감사와 QA 과정에서 확인한 운영 안정성·보안 경계·검증 커버리지를 보강하는 작업입니다.

Changes

[🔐 Access Boundary]

스트림/다시보기 목록 API의 viewerId query fallback을 제거했습니다.
목록 조회 기준을 서버 세션 ID로 고정했습니다.
Cloudflare Stream/Destination webhook secret 누락 시 production fail-closed 처리했습니다.
Stream/VOD 개인화 query key와 팔로잉 cache seed 정합성을 보강했습니다.

[📚 Docs]

루트 README 첫 화면을 핵심 문제 해결 사례 중심으로 압축했습니다.
docs 추천 읽기 순서를 README 핵심 사례와 맞게 정리했습니다.
권한 / 접근 제어 매트릭스 문서를 추가했습니다.
rate limit 운영 정책과 환경변수 예시를 정리했습니다.

[☔️ E2E]

채팅 약속 수락 후 상품 예약 상태 유지 검증을 추가했습니다.
상품 모달 상세 수정 후 원래 목록 문맥 복귀 검증을 추가했습니다.
팔로우 후 팔로워 전용 VOD 접근 상태 수렴 검증을 추가했습니다.

[🔐 Auth / Rate Limit]

SMS 인증번호 TTL, 재전송 쿨다운, IP 기준 발송 요청 제한을 추가했습니다.
회원가입 제출 IP 기준 단기 제한을 추가했습니다.
rate limit 식별자를 RATE_LIMIT_SALT 기반 HMAC hash로 저장하도록 정리했습니다.
PostgreSQL advisory lock으로 rate limit 기록 경합을 직렬화했습니다.

[📱 SMS]

SMS 로그인 토큰이 인증 전 User.phone을 점유하지 않도록 정리했습니다.
SMS 로그인 토큰과 프로필 전화번호 인증 토큰의 userId 목적을 분리했습니다.
프로필 인증 토큰이 SMS 로그인 검증에서 소비되지 않도록 차단했습니다.
SMS 발송 실패 시 이전 토큰 상태와 userId를 조건부 복구하도록 보강했습니다.

[☁️ Upload]

Cloudflare Images direct upload URL 발급 전 세션과 사용자 상태를 확인하도록 보강했습니다.
비로그인/정지 사용자 upload URL 발급 거절 테스트를 추가했습니다.

[🗄️ Database / Env]

SMSToken expires_at migration을 추가했습니다.
AuthRateLimitEvent 모델과 조회/정리 인덱스를 추가했습니다.
SMSToken.userId nullable 전환 migration을 추가했습니다.
RATE_LIMIT_SALT 환경변수를 추가했습니다.

Verification

Deployment Notes

Production 배포 시 Prisma migration 적용이 필요합니다.
Vercel Preview/Production 환경에 RATE_LIMIT_SALT가 등록되어 있습니다.

[🔎 Audit] /api/* 경로가 middleware 인증 가드를 타지 않는 구조에서 목록 API가 자체 권한 경계를 책임하도록 정리 비로그인 직접 API 요청이 query viewerId로 타인의 개인화 조회자 컨텍스트를 흉내낼 수 있던 경로 차단 Cloudflare webhook secret 누락 시 production에서 검증을 건너뛸 수 있던 fail-open 가능성 차단 Stream/VOD 개인화 응답을 query key가 충분히 구분하지 못하던 캐시 정합성 보강 [🎥 Stream] 스트림/다시보기 목록 API의 viewerId query fallback 제거 목록 조회 권한 기준을 서버 세션 ID로 고정 비로그인 목록 API 직접 호출 시 빈 목록으로 종료 Server Action 목록 조회도 세션 기준으로 정리 스트림/다시보기 query key에 viewerId와 팔로잉 필터 반영 팔로우 직후 기본 팔로잉 스트림 cache seed key를 조회자별 key와 일치시킴 [☁️ Webhook] Cloudflare Stream webhook secret 누락 시 production fail-closed 처리 Cloudflare Destination webhook secret 누락 시 production fail-closed 처리 핸드셰이크와 빈 body 요청은 상태 변경 없이 기존 통과 정책 유지 secret 누락 정책을 webhookAuth 유틸로 분리 [☔️ Test] 스트림/다시보기 목록 API viewerId spoof 회귀 테스트 추가 세션이 있을 때 query viewerId보다 session ID가 우선되는지 검증 production webhook secret 누락 시 DB 갱신과 Realtime 송신이 시작되지 않는지 검증 webhook secret 정책 유틸 테스트 추가 [✅ Verification] 스트림/다시보기 목록 API의 비로그인 공개 소비처가 없음을 grep으로 확인 npx tsc --noEmit npm run lint npm run test # 23 files / 107 tests npm run build npm run test:e2e # 7 passed / 19 skipped git diff --check

[🔎 Audit] - /api/* 경로가 middleware 인증 가드를 타지 않는 구조에서 목록 API가 자체 권한 경계를 책임하도록 정리 - 비로그인 직접 API 요청이 query viewerId로 타인의 개인화 조회자 컨텍스트를 흉내낼 수 있던 경로 차단 - Cloudflare webhook secret 누락 시 production에서 검증을 건너뛸 수 있던 fail-open 가능성 차단 - Stream/VOD 개인화 응답을 query key가 충분히 구분하지 못하던 캐시 정합성 보강 [🎥 Stream] - 스트림/다시보기 목록 API의 viewerId query fallback 제거 - 목록 조회 권한 기준을 서버 세션 ID로 고정 - 비로그인 목록 API 직접 호출 시 빈 목록으로 종료 - Server Action 목록 조회도 세션 기준으로 정리 - 스트림/다시보기 query key에 viewerId와 팔로잉 필터 반영 - 팔로우 직후 기본 팔로잉 스트림 cache seed key를 조회자별 key와 일치시킴 [☁️ Webhook] - Cloudflare Stream webhook secret 누락 시 production fail-closed 처리 - Cloudflare Destination webhook secret 누락 시 production fail-closed 처리 - 핸드셰이크와 빈 body 요청은 상태 변경 없이 기존 통과 정책 유지 - secret 누락 정책을 webhookAuth 유틸로 분리 [☔️ Test] - 스트림/다시보기 목록 API viewerId spoof 회귀 테스트 추가 - 세션이 있을 때 query viewerId보다 session ID가 우선되는지 검증 - production webhook secret 누락 시 DB 갱신과 Realtime 송신이 시작되지 않는지 검증 webhook secret 정책 유틸 테스트 추가 [✅ Verification] - npx tsc --noEmit - npm run lint - npm run test # 23 files / 107 tests - npm run build - npm run test:e2e # 7 passed / 19 skipped - git diff --check

- [📌 README] - 첫 화면에 Key Engineering Problems 섹션 추가 - 대표 문제 해결 사례를 증상/해결 방향/문서 링크 기준으로 정리 - Demo 앞뒤 흐름을 서비스 소개, 핵심 문제, 데모, Feature Flow 순서로 재배치 - Recommended Reading을 핵심 설계와 트러블슈팅 문서 중심으로 정리 - [🛡️ Access Control] - 권한 / 접근 제어 매트릭스 문서 추가 - 페이지, Route Handler, Server Action, service 계층의 보호 기준 정리 - 도메인별 주요 행위와 대표 권한 가드 정리 - Webhook secret 누락 시 production fail-closed 원칙 문서화 - [📚 Docs Index] - docs 추천 읽는 순서를 프로젝트 개요와 핵심 문제 해결 사례 중심으로 정리 - 권한 매트릭스와 PWA Push 문서를 추가 사례로 연결 - [✅ Verification] - git diff --check

[💬 Chat] 채팅 약속 수락 후 확정 상태와 상품 예약 상태 유지 검증 수락 후 새로고침과 상품 목록/상세 진입에서도 예약 상태 확인 [🛍️ Product] 상품 목록에서 모달 상세 진입 후 수정 저장 검증 수정 후 원래 목록 검색 문맥 복귀와 변경 내용 반영 확인 [🎥 Stream] 팔로우 후 팔로워 전용 VOD 잠금 해제 검증 팔로잉 목록 노출과 VOD 상세 접근까지 이어지는 상태 수렴 확인 [🧪 E2E Seed] 약속 수락 상품 상태 복원 seed 보강 모달 수정 상품과 팔로워 전용 VOD seed 추가 E2E 계정 간 follow 관계 cleanup 추가 상태 변경형 E2E 분리 실행 시 seed 재실행 기준 문서화 [✅ Verification] git diff --check npx tsc --noEmit npm run lint npm run test # 23 files / 107 tests E2E_SEEDED=1 npm run test:e2e -- tests/e2e/chat-appointment.spec.ts tests/e2e/product-modal-edit.spec.ts tests/e2e/stream-follow-access.spec.ts --project=chromium # 3 passed E2E_SEEDED=1 npm run test:e2e -- --project=chromium # 28 passed npm run cleanup:e2e

[💬 Chat] - 채팅 약속 수락 후 확정 상태와 상품 예약 상태 유지 검증 - 수락 후 새로고침과 상품 목록/상세 진입에서도 예약 상태 확인 [🛍️ Product] - 상품 목록에서 모달 상세 진입 후 수정 저장 검증 - 수정 후 원래 목록 검색 문맥 복귀와 변경 내용 반영 확인 [🎥 Stream] - 팔로우 후 팔로워 전용 VOD 잠금 해제 검증 - 팔로잉 목록 노출과 VOD 상세 접근까지 이어지는 상태 수렴 확인 [🧪 E2E Seed] - 약속 수락 상품 상태 복원 seed 보강 - 모달 수정 상품과 팔로워 전용 VOD seed 추가 - E2E 계정 간 follow 관계 cleanup 추가 - 상태 변경형 E2E 분리 실행 시 seed 재실행 기준 문서화 [✅ Verification] - git diff --check - npx tsc --noEmit - npm run lint - npm run test # 23 files / 107 tests - E2E_SEEDED=1 npm run test:e2e -- tests/e2e/chat-appointment.spec.ts tests/e2e/product-modal-edit.spec.ts tests/e2e/stream-follow-access.spec.ts --project=chromium # 3 passed - E2E_SEEDED=1 npm run test:e2e -- --project=chromium # 28 passed - npm run cleanup:e2e"

[🔐 Auth / Rate Limit] - SMS 인증번호 TTL 추가 - SMS 재전송 쿨다운과 IP 기준 발송 요청 제한 추가 - 회원가입 제출 IP 기준 단기 제한 추가 - rate limit 식별자는 RATE_LIMIT_SALT 기반 HMAC hash로 저장 - kind/keyHash 단위 advisory lock으로 rate limit 기록 경합 직렬화 [📱 SMS] - 로그인 SMS 토큰 교체를 조건부 updateMany 기준으로 정리 - provider 실패 시 기존 토큰 복구 또는 신규 토큰 삭제 - 만료된 SMS 인증번호 검증 거절 및 지연 정리 - 프로필 전화번호 인증에도 동일한 TTL/쿨다운/IP 제한/실패 복구 정책 적용 [☁️ Upload] - Cloudflare Images direct upload URL 발급 전 세션 확인 - 사용자 상태 검증 후 Cloudflare API 호출 - 비로그인/정지 사용자 upload URL 발급 거절 테스트 추가 [🗄️ Database] - SMSToken expires_at 추가 및 기존 토큰 만료 시각 backfill - AuthRateLimitEvent 모델 추가 - rate limit 조회/cleanup용 복합 인덱스 추가 [📚 Docs] - .env.example 추가 - README 필수 환경변수 표 정리 - Rate Limit 운영 정책 문서 추가 - 권한 매트릭스와 docs 인덱스에 rate limit 문서 연결 [☔️ Test] - SMS TTL/쿨다운/IP 제한/동시 요청/rollback 회귀 테스트 추가 - 프로필 전화번호 SMS 보호 회귀 테스트 추가 - rate limit hash/advisory lock 테스트 추가 - Cloudflare Images upload URL 인증 경계 테스트 추가 [✅ Verification] - npx prisma migrate dev - npx prisma generate - git diff --check - npm run lint - npm run test # 27 files / 125 tests - npx tsc --noEmit - npm run build - npx prisma validate

[📱 SMS] - SMS 로그인 토큰이 인증 전 User.phone을 점유하지 않도록 정리 - SMS 로그인 토큰과 프로필 전화번호 인증 토큰의 userId 목적 분리 - 프로필 인증 토큰이 SMS 로그인 검증에서 소비되지 않도록 차단 - 로그인 SMS 발송 실패 시 이전 토큰의 userId까지 조건부 복구 [🗄️ Database] - SMSToken.userId nullable 전환 migration 추가 - 로그인 SMS 토큰은 userId 없이 저장하고, 검증 성공 시 전화번호 기준 User를 조회 또는 생성 [🔐 Rate Limit] - 오래된 rate limit 기록 삭제를 advisory lock transaction 밖으로 분리 - PostgreSQL transaction 내부 삭제 실패가 이후 조회/기록에 영향을 주지 않도록 정리 - rate limit 판단 transaction은 lock, 최근 요청 조회, 현재 요청 기록만 수행하도록 단순화 [☔️ Test] - SMS 인증 전 User 생성 방지 회귀 테스트 추가 - 프로필 토큰 userId 잔존 및 로그인 목적 혼용 방지 테스트 추가 - SMS 발송 실패 rollback 회귀 테스트 보강 [✅ Verification] - npx prisma generate - npm run test -- features/auth/service/sms.test.ts features/auth/service/rateLimit.test.ts features/user/service/phone.test.ts - npx tsc --noEmit - npm run lint - npm run test - npx prisma validate - git diff --check

vercel · 2026-06-29T11:19:12Z

The latest updates on your projects. Learn more about Vercel for GitHub.

Project	Deployment	Actions	Updated (UTC)
board-port	Ready	Preview	Jun 29, 2026 11:19am

DoHeonLim added 10 commits June 26, 2026 11:46

DoHeonLim merged commit 7115014 into master Jun 29, 2026
4 checks passed

Provide feedback

Saved searches

Use saved searches to filter your results more quickly

🚀 Release : BoardPort v1.2.1 안정화 반영#60

🚀 Release : BoardPort v1.2.1 안정화 반영#60
DoHeonLim merged 10 commits into
masterfrom
develop

DoHeonLim commented Jun 29, 2026

Uh oh!

vercel Bot commented Jun 29, 2026

Uh oh!

Uh oh!

Reviewers

Assignees

Labels

Projects

Milestone

Development

Uh oh!

1 participant

Conversation

DoHeonLim commented Jun 29, 2026

Summary

Changes

Verification

Deployment Notes

Uh oh!

vercel Bot commented Jun 29, 2026

Uh oh!

Uh oh!

Reviewers

Assignees

Labels

Projects

Milestone

Development

Uh oh!

1 participant