🔧 [구성 변경] HTTPS ALB 설정 및 CORS 도메인 추가

[moonjun1]

🔧 HTTPS ALB 설정 및 프로덕션 도메인 전환

개요

AWS ALB(Application Load Balancer)를 통한 HTTPS 전환 및 프로덕션 도메인 설정을 위한 백엔드 구성 변경입니다.

변경 사항

인프라 변경사항

• ALB 프록시 헤더 처리 설정 추가 - ALB 뒤에서 정상적인 리다이렉트 동작을 위함
• 카카오 OAuth 리다이렉트 URI HTTPS로 변경 - 프로덕션 도메인 api.likelionnews.click 사용
• CORS 정책에 프로덕션 도메인 추가 - 프론트엔드 HTTPS 도메인 허용

수정된 파일들

• SpringBoot/src/main/resources/application.properties
• SpringBoot/src/main/java/Baemin/News_Deliver/SecurityConfig.java

상세 변경내용

application.properties 설정 추가

# HTTPS ALB 프록시 설정
server.forward-headers-strategy=framework
server.tomcat.redirect-context-root=false
server.tomcat.use-relative-redirects=true

# 카카오 OAuth HTTPS 리다이렉트 URI
spring.security.oauth2.client.registration.kakao.redirect-uri=https://api.likelionnews.click/login/oauth2/code/kakao

SecurityConfig.java - CORS 도메인 추가

configuration.setAllowedOriginPatterns(Arrays.asList(
    "http://localhost:3000",           // 개발용
    "http://localhost:3001",           // 개발용  
    "http://localhost:5173",           // 개발용
    "https://likelionnews.click",      // 🆕 프론트엔드 메인 도메인
    "https://www.likelionnews.click",  // 🆕 프론트엔드 www 도메인
    "https://*.amplifyapp.com",        // 🆕 AWS Amplify 도메인 패턴
    "https://merry-crepe-479d93.netlify.app", // 기존 프로토타입 유지
    "http://43.201.27.98"             // 기존 EC2 IP 유지
));

아키텍처 플로우

변경 전 (HTTP)

클라이언트 → EC2:8080 (HTTP)

변경 후 (HTTPS)

클라이언트 → ALB:443 (HTTPS) → EC2:8080 (HTTP)
         → ALB:80 (HTTP) → 301 리다이렉트 → HTTPS

도메인 구조

• 프론트엔드: likelionnews.click (AWS Amplify)
• 백엔드 API: api.likelionnews.click (AWS ALB → EC2)
• SSL 인증서: AWS ACM으로 관리

테스트 체크리스트

배포 전 테스트

• 코드 컴파일 확인
• 설정 파일 문법 검증
• Docker 빌드 테스트

배포 후 테스트

• HTTPS API 접속 테스트: https://api.likelionnews.click/api/auth/status
• HTTP → HTTPS 리다이렉트 확인: http://api.likelionnews.click
• ALB 대상 그룹 헬스체크 상태 확인
• 카카오 OAuth 로그인 플로우 테스트
• CORS 정책 동작 확인

테스트 명령어

# HTTPS API 테스트
curl -I https://api.likelionnews.click/api/auth/status

# HTTP 리다이렉트 테스트  
curl -I http://api.likelionnews.click/api/auth/status

# CORS 테스트 (브라우저 콘솔에서)
fetch('https://api.likelionnews.click/api/auth/status', {mode: 'cors'})

롤백 계획

문제 발생 시 즉시 이전 커밋으로 롤백 가능:

git reset --hard HEAD~1
git push --force origin master
docker-compose down && docker-compose up -d --build

관련 인프라 구성

• AWS ALB: likelionnews-alb
• 대상 그룹: likelionnews-backend
• ACM 인증서: api.likelionnews.click
• Route 53: A 레코드 api.likelionnews.click → ALB

사전 완료 작업

• ALB 생성 및 설정 완료
• ACM SSL 인증서 발급 완료
• Route 53 DNS 설정 완료
• EC2 보안 그룹 수정 완료
• 카카오 개발자 콘솔 리다이렉트 URI 추가

머지 후 작업 예정

• 카카오 개발자 콘솔에서 새 리다이렉트 URI 추가
• 프론트엔드 환경 변수 업데이트 (REACT_APP_API_URL)
• AWS Amplify 프론트엔드 배포 및 도메인 연결

기대 효과

• ✅ 보안 강화: HTTPS 암호화 통신
• ✅ SEO 개선: HTTPS는 검색 엔진 랭킹 요소
• ✅ 사용자 신뢰도: 브라우저 보안 경고 제거
• ✅ 확장성: ALB를 통한 로드 밸런싱 기반 마련
• ✅ 프로덕션 준비: 실제 도메인을 사용한 서비스 운영

4. 호환성 확인: 기존 개발 환경 설정이 유지되는지

Summary by CodeRabbit

• 새로운 기능

  • 프론트엔드 메인 도메인, www 서브도메인, Amplify 앱 도메인 패턴을 허용된 CORS 오리진 목록에 추가했습니다.

• 버그 수정

  • OAuth2 카카오 클라이언트 리디렉트 URI를 도메인 기반 HTTPS 주소로 변경했습니다.

• 기타 작업

  • Tomcat 리디렉트 관련 설정이 추가되어 리디렉트 동작이 개선되었습니다.

[coderabbitai]

Walkthrough

CORS 허용 오리진 목록이 확장되었고, OAuth2 Kakao 리디렉션 URI가 도메인 기반 HTTPS 주소로 변경되었습니다. 또한 Tomcat 리디렉션 관련 서버 속성이 추가 및 수정되었습니다. 공개 엔티티 시그니처나 외부 API에는 변화가 없습니다.

Changes

파일/경로	변경 요약
SpringBoot/src/main/java/Baemin/News_Deliver/SecurityConfig.java	CORS 허용 오리진 목록에 likelionnews.click, www.likelionnews.click, *.amplifyapp.com 추가
SpringBoot/src/main/resources/application.properties	Kakao OAuth2 리디렉션 URI를 도메인 HTTPS로 변경, Tomcat 리디렉션 관련 속성 2개 추가

Possibly related PRs

• 🔧 Docker 컨테이너 한국 시간대 설정 추가 #100: Kakao OAuth2 리디렉션 URI를 변경한 PR로, 본 PR과 유사하게 해당 URI를 수정함.
• 🔒 [보안 강화] AWS 프로덕션 배포를 위한 Spring Security 설정 강화 #105: SecurityConfig.java의 CORS 설정을 변경한 PR로, 본 PR과 동일한 메서드를 수정함.

✨ Finishing Touches

• 📝 Generate Docstrings

---

🪧 Tips

Chat

There are 3 ways to chat with CodeRabbit:

• Review comments: Directly reply to a review comment made by CodeRabbit. Example:
  • I pushed a fix in commit <commit_id>, please review it.
  • Explain this complex logic.
  • Open a follow-up GitHub issue for this discussion.
• Files and specific lines of code (under the "Files changed" tab): Tag @coderabbitai in a new review comment at the desired location with your query. Examples:
  • @coderabbitai explain this code block.
  • @coderabbitai modularize this function.
• PR comments: Tag @coderabbitai in a new PR comment to ask questions about the PR branch. For the best results, please provide a very specific query, as very limited context is provided in this mode. Examples:
  • @coderabbitai gather interesting stats about this repository and render them as a table. Additionally, render a pie chart showing the language distribution in the codebase.
  • @coderabbitai read src/utils.ts and explain its main purpose.
  • @coderabbitai read the files in the src/scheduler package and generate a class diagram using mermaid and a README in the markdown format.
  • @coderabbitai help me debug CodeRabbit configuration file.

Support

Need help? Create a ticket on our support page for assistance with any issues or questions.

Note: Be mindful of the bot's finite context window. It's strongly recommended to break down tasks such as reading entire modules into smaller chunks. For a focused discussion, use review comments to chat about specific files and their changes, instead of using the PR comments.

CodeRabbit Commands (Invoked using PR comments)

• @coderabbitai pause to pause the reviews on a PR.
• @coderabbitai resume to resume the paused reviews.
• @coderabbitai review to trigger an incremental review. This is useful when automatic reviews are disabled for the repository.
• @coderabbitai full review to do a full review from scratch and review all the files again.
• @coderabbitai summary to regenerate the summary of the PR.
• @coderabbitai generate docstrings to generate docstrings for this PR.
• @coderabbitai generate sequence diagram to generate a sequence diagram of the changes in this PR.
• @coderabbitai resolve resolve all the CodeRabbit review comments.
• @coderabbitai configuration to show the current CodeRabbit configuration for the repository.
• @coderabbitai help to get help.

Other keywords and placeholders

• Add @coderabbitai ignore anywhere in the PR description to prevent this PR from being reviewed.
• Add @coderabbitai summary to generate the high-level summary at a specific location in the PR description.
• Add @coderabbitai anywhere in the PR title to generate the title automatically.

CodeRabbit Configuration File (.coderabbit.yaml)

• You can programmatically configure CodeRabbit by adding a .coderabbit.yaml file to the root of your repository.
• Please see the configuration documentation for more information.
• If your editor has YAML language server enabled, you can add the path at the top of this file to enable auto-completion and validation: # yaml-language-server: $schema=https://coderabbit.ai/integrations/schema.v2.json

Documentation and Community

• Visit our Documentation for detailed information on how to use CodeRabbit.
• Join our Discord Community to get help, request features, and share feedback.
• Follow us on X/Twitter for updates and announcements.

[coderabbitai]

Actionable comments posted: 0

🧹 Nitpick comments (2)

SpringBoot/src/main/resources/application.properties (1)

87-88: Tomcat redirect 옵션—상대/절대 URI 혼용 위험

server.tomcat.redirect-context-root=false
server.tomcat.use-relative-redirects=true

두 옵션을 동시에 활성화하면 다음 영향이 있습니다.

• 앱 내부에서 sendRedirect("/") 같은 절대 path 를 호출할 경우, Location: /(상대) 로 내려갑니다. ALB 뒤라면 의도한 HTTPS 도메인을 브라우저가 그대로 사용하므로 장점이 있지만,
• 외부 도메인으로의 redirect(예: Swagger UI Oauth2 flow) 는 상대-URI 로 전환되면서 오류가 날 수 있습니다.

운영 환경 전반에서 상대 redirect 만으로 충분한지 확인이 필요합니다. 특수 path redirect 가 있다면 절대 URI 유지가 안전할 수 있으니 재검토 권장드립니다.

SpringBoot/src/main/java/Baemin/News_Deliver/SecurityConfig.java (1)

128-138: CORS 허용 도메인 하드코딩—유지보수 및 보안 측면 개선 제안

변경 자체(신규 도메인 3종 추가)는 타당합니다. 다만:

1. 패턴 "https://*.amplifyapp.com" 은 Spring 5.3 / Boot 2.7 이상에서만 매칭됩니다. 하위 버전이면 무시되니 현재 런타임 버전을 다시 확인해 주세요.
2. configuration.setAllowCredentials(true) 를 사용하면서 와일드카드 패턴을 허용하면 브라우저 스펙상 문제는 없지만, 도메인 스푸핑 위험을 키울 수 있습니다. Amplify 앱별로 서브도메인을 제한적으로 명시하거나, 배포 후 Access-Control-Allow-Origin 헤더가 예상치 않게 null 로 떨어지지 않는지 점검이 필요합니다.
3. 차후 도메인 변경 시 코드를 수정·배포해야 하므로, application.yaml 로 목록을 외부화하거나 @Value 주입 후 split(",") 로 처리하는 방식이 유지보수에 유리합니다.

예시 리팩터링:

-configuration.setAllowedOriginPatterns(Arrays.asList(
-    "https://likelionnews.click",
-    ...
-));
+configuration.setAllowedOriginPatterns(
+    Arrays.asList(corsAllowedOrigins.split(",")));

application.properties:

cors.allowed-origins=https://likelionnews.click,...

📜 Review details

Configuration used: CodeRabbit UI
Review profile: CHILL
Plan: Pro

📥 Commits

Reviewing files that changed from the base of the PR and between eeb86d7 and 6765d49.

📒 Files selected for processing (2)

• SpringBoot/src/main/java/Baemin/News_Deliver/SecurityConfig.java (1 hunks)
• SpringBoot/src/main/resources/application.properties (2 hunks)

🔇 Additional comments (1)

SpringBoot/src/main/resources/application.properties (1)

47-47: 카카오 Redirect URI 변경—운영/개발 콘솔 모두 반드시 동기화 필요

https://api.likelionnews.click/login/oauth2/code/kakao 로 수정하셨는데,

1. 카카오 개발자 콘솔의 Redirect URI 목록에 동일한 값이 추가-승인돼 있어야 합니다.
2. ALB → EC2 구간이 HTTP(80)인 경우, X-Forwarded-Proto 헤더가 HTTPS 로 전달돼야 Spring Security 가 절대 URI 리다이렉트를 올바르게 계산합니다. 이미 server.forward-headers-strategy=framework 를 켜셨지만, Nginx / ALB 쪽에 X-Forwarded-* 헤더 제거 정책이 없는지 한번 더 확인해 주세요.
   문서화만 되어 있으면 LGTM 입니다.