feat: 회원 탈퇴 및 비밀번호 변경 API 추가와 정책 반영

.env.example

@@ -30,7 +30,10 @@ COOKIE_SAME_SITE=Lax
 
 # CORS 허용 오리진. 콤마로 구분
 # POST /api/v1/auth/refresh의 CSRF 방어에도 쓰인다. 이 목록에 없는 오리진의 재발급 요청은 403으로 차단된다
-CORS_ALLOWED_ORIGINS=http://localhost:3000
+# 프론트 로컬은 Next.js 3000, Vite 5173
+# 배포 환경에는 프론트 운영 주소와 Vercel 프리뷰 주소를 넣는다. 프리뷰는 브랜치마다 주소가 달라 개별 등록이 필요하다
+# 값을 고칠 때는 기존 목록을 덮어쓰지 말고 콤마로 덧붙여야 한다. 목록 전체를 교체하는 변수다
+CORS_ALLOWED_ORIGINS=http://localhost:3000,http://localhost:5173
 
 # 인증번호 발송용 Gmail SMTP 계정
 # MAIL_PASSWORD는 계정 비밀번호가 아니라 2단계 인증을 켠 뒤 발급한 16자리 앱 비밀번호다

src/main/java/com/slatto/domain/auth/controller/AuthController.java

@@ -8,6 +8,7 @@
 import com.slatto.domain.auth.dto.EmailVerificationConfirmResponse;
 import com.slatto.domain.auth.dto.EmailVerificationSendRequest;
 import com.slatto.domain.auth.dto.EmailVerificationSendResponse;
+import com.slatto.domain.auth.dto.PasswordChangeRequest;
 import com.slatto.domain.auth.dto.PasswordResetRequest;
 import com.slatto.domain.auth.service.AuthService;
 import com.slatto.domain.auth.service.EmailVerificationService;
@@ -23,8 +24,10 @@
 import org.springframework.http.HttpHeaders;
 import org.springframework.http.HttpStatus;
 import org.springframework.http.ResponseEntity;
+import org.springframework.security.core.annotation.AuthenticationPrincipal;
 import org.springframework.web.bind.annotation.CookieValue;
 import org.springframework.web.bind.annotation.GetMapping;
+import org.springframework.web.bind.annotation.PatchMapping;
 import org.springframework.web.bind.annotation.PostMapping;
 import org.springframework.web.bind.annotation.RequestBody;
 import org.springframework.web.bind.annotation.RequestMapping;
@@ -197,6 +200,32 @@ public ApiResponse<EmailVerificationConfirmResponse> confirmEmailVerificationCod
 		return ApiResponse.success(CommonSuccessCode.OK, response);
 	}
 
+	@Operation(
+		summary = "비밀번호 변경",
+		description = """
+			로그인한 상태에서 현재 비밀번호를 확인하고 새 비밀번호로 바꾼다.
+
+			비밀번호를 잊어버려 인증번호로 재설정하는 `POST /auth/password/reset` 과는 다른 경로다.
+			변경 성공 시 리프레시 토큰을 새로 발급한다.
+
+			구글로만 가입해 비밀번호가 없는 계정은 이 API 로 설정할 수 없다. 비밀번호 찾기를 이용한다.
+			"""
+	)
+	@PatchMapping("/password")
+	public ResponseEntity<ApiResponse<EmailAuthResponse>> changePassword(
+		@AuthenticationPrincipal Long userId,
+		@Valid @RequestBody PasswordChangeRequest request
+	) {
+		AuthService.EmailAuthResult result = authService.changePassword(
+			userId, request.currentPassword(), request.newPassword()
+		);
+
+		return ResponseEntity
+			.ok()
+			.header(HttpHeaders.SET_COOKIE, refreshTokenCookie(result))
+			.body(ApiResponse.success(CommonSuccessCode.OK, toEmailAuthResponse(result)));
+	}
+
 	@Operation(
 		summary = "비밀번호 재설정",
 		description = """

src/main/java/com/slatto/domain/auth/dto/EmailSignupRequest.java

@@ -8,7 +8,10 @@
 public record EmailSignupRequest(
 
 	@NotBlank(message = "이름은 필수입니다.")
-	@Size(min = 1, max = 20, message = "이름은 1자 이상 20자 이하로 입력해야 합니다.")
+	@Pattern(
+		regexp = "^(?=.*\\S)[가-힣a-zA-Z0-9 ]{2,20}$",
+		message = "이름은 특수문자 없이 2자 이상 20자 이하로 입력해야 합니다."
+	)
 	String name,
 
 	@NotBlank(message = "이메일은 필수입니다.")

src/main/java/com/slatto/domain/auth/dto/PasswordChangeRequest.java

@@ -0,0 +1,18 @@
+package com.slatto.domain.auth.dto;
+
+import jakarta.validation.constraints.NotBlank;
+import jakarta.validation.constraints.Pattern;
+
+public record PasswordChangeRequest(
+
+	@NotBlank(message = "현재 비밀번호는 필수입니다.")
+	String currentPassword,
+
+	@NotBlank(message = "새 비밀번호는 필수입니다.")
+	@Pattern(
+		regexp = "^(?=.*[A-Za-z])(?=.*\\d)(?=.*[^A-Za-z0-9]).{8,64}$",
+		message = "비밀번호는 영문·숫자·특수문자를 포함해 8자 이상 64자 이하로 입력해야 합니다."
+	)
+	String newPassword
+) {
+}

src/main/java/com/slatto/domain/auth/exception/AuthErrorCode.java

@@ -20,7 +20,12 @@ public enum AuthErrorCode implements BaseCode {
 	SIGNUP_SOCIAL_ACCOUNT_EXISTS(HttpStatus.CONFLICT, "AUTH_SIGNUP_SOCIAL409", "구글 계정으로 가입된 이메일입니다. 구글 로그인을 이용해 주세요."),
 
 	// 이메일 미존재·비밀번호 불일치·소셜 전용 계정을 모두 같은 응답으로 처리한다. 이메일 열거 방지다.
-	LOGIN_FAILED(HttpStatus.UNAUTHORIZED, "AUTH_LOGIN401", "이메일 또는 비밀번호가 올바르지 않습니다.");
+	LOGIN_FAILED(HttpStatus.UNAUTHORIZED, "AUTH_LOGIN401", "이메일 또는 비밀번호가 올바르지 않습니다."),
+
+	// 로그인한 본인이 호출하는 경로라 사유를 구분해도 새어 나갈 정보가 없다.
+	CURRENT_PASSWORD_MISMATCH(HttpStatus.UNAUTHORIZED, "AUTH_PASSWORD401", "현재 비밀번호가 올바르지 않습니다."),
+	PASSWORD_NOT_SET(HttpStatus.BAD_REQUEST, "AUTH_PASSWORD_NOT_SET400", "비밀번호가 설정되지 않은 계정입니다. 비밀번호 찾기를 이용해 주세요."),
+	PASSWORD_UNCHANGED(HttpStatus.BAD_REQUEST, "AUTH_PASSWORD_UNCHANGED400", "새 비밀번호가 기존 비밀번호와 같습니다.");
 
 	private final HttpStatus httpStatus;
 	private final String code;

src/main/java/com/slatto/domain/auth/service/AuthService.java

@@ -17,6 +17,7 @@
 import com.slatto.domain.user.repository.UserRepository;
 import com.slatto.global.config.properties.FrontendProperties;
 import com.slatto.global.exception.BaseException;
+import com.slatto.global.response.code.CommonErrorCode;
 import com.slatto.global.security.JwtTokenProvider;
 import lombok.RequiredArgsConstructor;
 import lombok.extern.slf4j.Slf4j;
@@ -134,6 +135,31 @@ public EmailAuthResult login(String email, String rawPassword) {
 		return toEmailAuthResult(user);
 	}
 
+	// 재설정과 달리 리프레시 토큰을 새로 발급한다. 본인이 로그인한 상태에서 바꾸는 것이라
+	// 세션을 끊을 이유가 없다. 유출을 가정하는 resetPassword 와 여기가 갈리는 지점이다.
+	@Transactional
+	public EmailAuthResult changePassword(Long userId, String currentPassword, String newRawPassword) {
+		Users user = userRepository.findByIdAndDeletedAtIsNull(userId)
+			.orElseThrow(() -> new BaseException(CommonErrorCode.NOT_FOUND));
+
+		if (!user.hasPassword()) {
+			throw new BaseException(AuthErrorCode.PASSWORD_NOT_SET);
+		}
+
+		// 세션이 탈취된 상황에서 비밀번호까지 바꿀 수 있으면 계정을 통째로 빼앗긴다.
+		if (!passwordEncoder.matches(currentPassword, user.getPassword())) {
+			throw new BaseException(AuthErrorCode.CURRENT_PASSWORD_MISMATCH);
+		}
+
+		if (passwordEncoder.matches(newRawPassword, user.getPassword())) {
+			throw new BaseException(AuthErrorCode.PASSWORD_UNCHANGED);
+		}
+
+		user.changePassword(passwordEncoder.encode(newRawPassword));
+
+		return toEmailAuthResult(user);
+	}
+
 	@Transactional
 	public void resetPassword(String email, String newRawPassword) {
 		emailVerificationService.consumeVerified(email, VerificationPurpose.PASSWORD_RESET);

src/main/java/com/slatto/domain/recruitment/controller/RecruitmentController.java

@@ -39,7 +39,15 @@ public class RecruitmentController {
 
     private final RecruitmentService recruitmentService;
 
-    @Operation(summary = "구인구직 공고 작성")
+    @Operation(
+        summary = "구인구직 공고 작성",
+        description = """
+            필수는 `title`, `recruitPart`, `description`, `contact` 네 개다.
+            `category`, `lengthType`, `location`, `shootingPeriod`, `pay`, `deadline` 은 비워도 등록된다.
+
+            `title` 은 5~50자다. `deadline` 을 비우면 수동으로 마감할 때까지 모집이 유지된다.
+            """
+    )
     @PostMapping
     @ResponseStatus(HttpStatus.CREATED)
     public ApiResponse<RecruitmentDetailResponse> createRecruitment(
@@ -113,7 +121,19 @@ public ApiResponse<RecruitmentDetailResponse> getRecruitment(
         return ApiResponse.success(CommonSuccessCode.OK, response);
     }
 
-    @Operation(summary = "구인구직 공고 수정")
+    @Operation(
+        summary = "구인구직 공고 수정",
+        description = """
+            전달한 항목만 부분 수정된다.
+
+            **마감된 공고는 내용을 수정할 수 없다.** 마감일이 지났거나 수동 마감한 공고에
+            내용 수정을 요청하면 `RECRUITMENT_CLOSED_EDIT400` 이 반환된다.
+
+            다만 `status` 를 `RECRUITING` 으로 보내는 요청은 통과한다. 상태 변경이 같은 API 라
+            전면 차단하면 마감을 되돌릴 방법이 없어지기 때문이다. 마감일이 지나 자동 마감된
+            공고를 되살리려면 `deadline` 도 함께 보내야 한다.
+            """
+    )
     @PatchMapping("/{recruitmentId}")
     public ApiResponse<RecruitmentDetailResponse> updateRecruitment(
         @AuthenticationPrincipal Long currentUserId,

src/main/java/com/slatto/domain/recruitment/dto/RecruitmentCreateRequest.java

@@ -7,6 +7,7 @@
 import jakarta.validation.constraints.FutureOrPresent;
 import jakarta.validation.constraints.NotBlank;
 import jakarta.validation.constraints.NotNull;
+import jakarta.validation.constraints.Pattern;
 import jakarta.validation.constraints.Size;
 import lombok.AccessLevel;
 import lombok.Getter;
@@ -19,29 +20,27 @@
 public class RecruitmentCreateRequest {
 
     @NotBlank(message = "공고 제목은 필수입니다.")
-    @Size(max = 100, message = "공고 제목은 최대 100자까지 입력할 수 있습니다.")
+    @Size(min = 5, max = 50, message = "공고 제목은 5자 이상 50자 이하로 입력해야 합니다.")
     private String title;
 
-    @NotNull(message = "카테고리는 필수입니다.")
     private CategoryName category;
 
-    @NotNull(message = "영상 길이 유형은 필수입니다.")
     private LengthType lengthType;
 
     @NotNull(message = "모집 파트는 필수입니다.")
     private RoleName recruitPart;
 
-    @NotNull(message = "지역은 필수입니다.")
     private RegionName location;
 
-    @NotBlank(message = "촬영 기간은 필수입니다.")
+    @Pattern(regexp = "(?s).*\\S.*", message = "촬영 기간은 공백일 수 없습니다.")
     @Size(max = 50, message = "촬영 기간은 최대 50자까지 입력할 수 있습니다.")
     private String shootingPeriod;
 
-    @NotBlank(message = "급여는 필수입니다.")
+    @Pattern(regexp = "(?s).*\\S.*", message = "급여는 공백일 수 없습니다.")
     @Size(max = 50, message = "급여는 최대 50자까지 입력할 수 있습니다.")
     private String pay;
 
+    // 지원자가 연락할 방법이 없으면 공고가 성립하지 않아 선택으로 열지 않는다.
     @NotBlank(message = "연락처는 필수입니다.")
     @Size(max = 100, message = "연락처는 최대 100자까지 입력할 수 있습니다.")
     private String contact;
@@ -50,7 +49,7 @@ public class RecruitmentCreateRequest {
     @Size(max = 2000, message = "상세 내용은 최대 2000자까지 입력할 수 있습니다.")
     private String description;
 
-    @NotNull(message = "마감일은 필수입니다.")
+    // 마감일을 비우면 수동으로 마감할 때까지 모집이 유지된다.
     @FutureOrPresent(message = "마감일은 오늘 또는 그 이후여야 합니다.")
     private LocalDate deadline;
 }

src/main/java/com/slatto/domain/recruitment/dto/RecruitmentUpdateRequest.java

@@ -20,7 +20,7 @@
 public class RecruitmentUpdateRequest {
 
     @Pattern(regexp = "(?s).*\\S.*", message = "공고 제목은 공백일 수 없습니다.")
-    @Size(max = 100, message = "공고 제목은 100자 이하여야 합니다.")
+    @Size(min = 5, max = 50, message = "공고 제목은 5자 이상 50자 이하여야 합니다.")
     private String title;
 
     private CategoryName category;

src/main/java/com/slatto/domain/recruitment/exception/RecruitmentErrorCode.java

@@ -12,7 +12,8 @@ public enum RecruitmentErrorCode implements BaseCode {
     RECRUITMENT_CLOSED(HttpStatus.BAD_REQUEST, "RECRUITMENT_CLOSED400", "마감된 공고에는 지원할 수 없습니다."),
     RECRUITMENT_SELF_APPLICATION(HttpStatus.BAD_REQUEST, "RECRUITMENT_SELF400", "본인이 작성한 공고에는 지원할 수 없습니다."),
     APPLICATION_ALREADY_APPLIED(HttpStatus.CONFLICT, "APPLICATION409", "이미 지원한 공고입니다."),
-    APPLICATION_ALREADY_HANDLED(HttpStatus.BAD_REQUEST, "APPLICATION_ALREADY_HANDLED400", "이미 수락 또는 거절 처리된 지원입니다.");
+    APPLICATION_ALREADY_HANDLED(HttpStatus.BAD_REQUEST, "APPLICATION_ALREADY_HANDLED400", "이미 수락 또는 거절 처리된 지원입니다."),
+    RECRUITMENT_CLOSED_NOT_EDITABLE(HttpStatus.BAD_REQUEST, "RECRUITMENT_CLOSED_EDIT400", "마감된 공고는 수정할 수 없습니다.");
 
     private final HttpStatus httpStatus;
     private final String code;

src/main/java/com/slatto/domain/recruitment/repository/RecruitmentRepository.java

@@ -12,11 +12,24 @@
 import org.springframework.data.repository.query.Param;
 
 import java.time.LocalDate;
+import java.time.LocalDateTime;
 import java.util.List;
 import java.util.Optional;
 
 public interface RecruitmentRepository extends JpaRepository<Recruitment, Long> {
 
+    // 작성자가 탈퇴하면 공고도 함께 내린다. 연락받을 사람이 없는 공고가 목록에 남으면
+    // 지원자가 응답 없는 공고에 지원하게 된다.
+    // clearAutomatically 는 쓰지 않는다. 같은 트랜잭션에 로딩된 엔티티가 detach 된다.
+    @Modifying
+    @Query("""
+        update Recruitment r
+        set r.deletedAt = :deletedAt
+        where r.writer.id = :writerId
+            and r.deletedAt is null
+        """)
+    int softDeleteAllByWriterId(@Param("writerId") Long writerId, @Param("deletedAt") LocalDateTime deletedAt);
+
     Optional<Recruitment> findByIdAndDeletedAtIsNull(Long id);
 
     boolean existsByIdAndDeletedAtIsNull(Long id);

src/main/java/com/slatto/domain/recruitment/service/RecruitmentService.java

@@ -14,6 +14,7 @@
 import com.slatto.domain.recruitment.enums.RecruitmentApplicationStatus;
 import com.slatto.domain.recruitment.enums.RecruitmentSortType;
 import com.slatto.domain.recruitment.enums.RecruitmentStatus;
+import com.slatto.domain.recruitment.exception.RecruitmentErrorCode;
 import com.slatto.domain.recruitment.repository.RecruitmentApplicationRepository;
 import com.slatto.domain.recruitment.repository.RecruitmentBookmarkRepository;
 import com.slatto.domain.recruitment.repository.RecruitmentRepository;
@@ -107,6 +108,12 @@ public RecruitmentDetailResponse updateRecruitment(
 
         validateWriter(recruitment, currentUserId);
 
+        // 마감된 공고는 내용을 수정할 수 없다. 다만 다시 모집중으로 되돌리는 요청은 통과시킨다.
+        // 전면 차단하면 상태 변경도 같은 API 를 쓰므로 수동 마감을 취소할 방법이 사라진다.
+        if (isClosed(recruitment) && !isReopening(recruitment, request)) {
+            throw new BaseException(RecruitmentErrorCode.RECRUITMENT_CLOSED_NOT_EDITABLE);
+        }
+
         recruitment.update(
             request.getTitle(),
             request.getCategory(),
@@ -399,6 +406,29 @@ private RoleName getPrimaryRole(Long userId) {
         return roles.isEmpty() ? null : roles.get(0).getRoleName();
     }
 
+    // status 만 RECRUITING 으로 바꿔도 마감일이 과거면 여전히 마감이다. 그 상태로 통과시키면
+    // 같은 요청에 실린 내용 변경까지 반영돼 마감 공고 수정 금지가 우회된다.
+    // 적용 후 실제로 모집중이 되는 요청만 재개로 인정한다.
+    private boolean isReopening(Recruitment recruitment, RecruitmentUpdateRequest request) {
+        if (request.getStatus() != RecruitmentStatus.RECRUITING) {
+            return false;
+        }
+
+        LocalDate appliedDeadline = request.getDeadline() != null
+            ? request.getDeadline()
+            : recruitment.getDeadline();
+
+        return appliedDeadline == null || !appliedDeadline.isBefore(recruitmentConverter.currentDate());
+    }
+
+    private boolean isClosed(Recruitment recruitment) {
+        return recruitmentConverter.resolveStatus(
+            recruitment.getClosedManually(),
+            recruitment.getDeadline(),
+            recruitmentConverter.currentDate()
+        ) == RecruitmentStatus.CLOSED;
+    }
+
     private List<RegionName> getUserRegions(Long userId) {
         return locationRepository.findAllByUserIdAndRecruitmentIsNullOrderByIdAsc(userId)
             .stream()