🚀[기능개선][관리자] 관리자 페이지 로그인 방식 개선 (URL 토큰 폐기)

[Cassiiopeia]

📝 현재 문제점

현재 관리자 웹 화면의 인증/로그인 방식이 잘못 설계되어 있습니다.

현재 동작 흐름

• 로그인 성공 후 JWT accessToken을 브라우저 localStorage에 저장합니다.
• 관리자 페이지로 이동할 때마다 URL 쿼리파라미터로 ?accessToken=xxx를 직접 붙여서 전달합니다.
• 서버는 각 /admin/** 매핑에서 이 쿼리파라미터 토큰을 jwtUtil.validateToken()으로 검증합니다.

관련 파일

• SM-Web/src/main/java/com/balsamic/sejongmalsami/web/controller/view/AdminPageController.java
  • /admin/question, /admin/document, /admin/dashboard, /admin/member, /admin/subject, /admin/notice, /admin/notification 등 거의 모든 /admin/** GET 매핑이 @RequestParam String accessToken을 받아 jwtUtil.validateToken(accessToken)으로 검증합니다.
  • 일부 매핑은 log.info(accessToken) 형태로 토큰을 로그에 그대로 출력하기까지 합니다.
• SM-Web/src/main/resources/static/js/auth.js
  • navigate()가 localStorage의 토큰을 읽어 이동 URL 끝에 ?accessToken=...를 붙입니다.
  • 페이지 진입 시 checkAccessToken()으로 클라이언트 측에서만 토큰 존재 여부를 검사합니다.
• SM-Web/src/main/resources/templates/login.html

왜 잘못되었는가

• 보안 취약 — accessToken이 URL 쿼리스트링에 노출됩니다. 브라우저 히스토리, 서버 access log, Referer 헤더에 토큰이 평문으로 남아 토큰이 유출될 위험이 큽니다. (실제로 컨트롤러 일부는 토큰을 로그로 남기고 있습니다.)
• UX 불안정 — 페이지를 이동할 때마다 토큰을 URL에 수동으로 붙여야 하므로 네비게이션이 쉽게 깨지고 사용 경험이 나쁩니다.
• 표준에서 벗어남 — 일반적인 관리자 인증(Spring Security 세션 기반 폼로그인 + 쿠키, 또는 HttpOnly 쿠키 기반 JWT)과 동떨어진 비표준 방식입니다.

🛠️ 해결 방안 / 제안 기능

• URL 쿼리파라미터로 토큰을 전달하는 방식을 폐기합니다.
• 다음 중 하나의 표준 방식으로 전환합니다.
  • (권장) Spring Security 세션 기반 폼로그인 — /admin/** 경로 전용 SecurityFilterChain을 두고 세션 + 쿠키(JSESSIONID)로 인증을 관리합니다.
  • 또는 HttpOnly 쿠키 기반 JWT — 토큰을 JS에서 접근 불가능한 HttpOnly 쿠키에 담아 전달합니다.
• 전환 후에는 컨트롤러에서 @RequestParam String accessToken 수신·검증 로직과 auth.js의 URL 토큰 부착 로직을 제거합니다.

참고 레퍼런스

• 같은 작성자의 passQL 프로젝트 AdminSecurityConfig가 이미 /admin/** 경로에 대해 Spring Security 세션 폼로그인을 적용하고 있습니다.
  • /admin/**에만 적용되는 별도 SecurityFilterChain(@Order(1))을 두고, JWT API chain과 완전히 분리합니다.
  • formLogin(loginPage/loginProcessingUrl/defaultSuccessUrl), logout(deleteCookies("JSESSIONID")), SessionCreationPolicy.IF_REQUIRED, userDetailsService + BCryptPasswordEncoder 구성을 그대로 참고할 수 있습니다.

⚙️ 작업 내용

• /admin/** 전용 Security 설정(세션 폼로그인 또는 HttpOnly 쿠키 JWT) 도입
• AdminPageController의 모든 /admin/** 매핑에서 accessToken 쿼리파라미터 수신·검증 로직 제거 (토큰 로그 출력 제거 포함)
• auth.js의 URL 토큰 부착·클라이언트 토큰 체크 로직 정리
• 로그인/로그아웃 흐름(login.html, /logout) 표준 방식에 맞춰 재정비

⚠️ 본 이슈는 "관리자 화면 UI를 daisyUI로 전면 교체하는 작업"과는 별개의 후속 개선 과제입니다. UI 교체 작업에서는 인증을 일단 기존 방식 그대로 두고, 그 이후 본 이슈에서 인증을 표준 방식으로 제대로 고치기 위한 트래킹용 이슈입니다.

🙋‍♂️ 담당자

• 백엔드: 이름
• 프론트엔드: 이름
• 디자인: 이름

[github-actions]

Guide by SUH-LAB

브랜치

20260617_#939_관리자_페이지_로그인_방식_개선_URL_토큰_폐기

커밋 메시지

관리자 페이지 로그인 방식 개선 (URL 토큰 폐기) : feat : {변경 사항에 대한 설명} https://github.com/Sejong-Balsamic/Malsami-BE/issues/939