📄[문서][Auth] 세종말싸미 서비스 내 세종대 로그인 인증 구현 현황 분석

[Cassiiopeia]

📝 현재 문제점

• 세종말싸미 서비스의 로그인은 세종대학교가 제공하는 공식 OAuth/SSO API가 없어, 사용자가 입력한 세종포털 학번·비밀번호로 직접 세종포털에 로그인한 뒤 결과 페이지(고전독서인증현황)를 크롤링(스크래핑) 하는 방식으로 구현되어 있다.
• 이 방식은 외부 사이트(세종포털)의 HTML 구조·엔드포인트·세션 정책에 강하게 결합되어 있어, 세종대 측 변경 시 로그인 전체가 깨질 수 있는 구조다.
• 또한 인증 신뢰성을 위해 SSL 인증서 검증을 전면 비활성화하는 등 보안상 짚어야 할 지점이 있다.
• 본 이슈는 별도 작업(코드 변경)을 위한 것이 아니라, 현재 인증 구현이 어떻게 동작하는지를 코드 기준으로 정확히 문서화하기 위한 분석·기록용 이슈다. (작업 X / 현황 분석 전용)

---

🔎 인증 전체 흐름 요약

[Client] 학번 + 비밀번호 입력
   │ POST /api/auth/signin  (웹)  또는  /api/auth/mobile/signin (모바일)
   ▼
AuthController
   │
   ▼
AuthApplicationService.signIn() / signInForMobile()
   │
   ▼
SejongPortalAuthenticator.getMemberAuthInfos()
   ├─ 1. portal.sejong.ac.kr/jsp/login/login_action.jsp  → id/password POST 로그인
   ├─ 2. classic.sejong.ac.kr SSO 리다이렉트(sso-return.jsp) → 세션 쿠키 확보
   ├─ 3. classic.sejong.ac.kr/classic/reading/status.do (고전독서인증현황) GET
   └─ 4. Jsoup 으로 "사용자 정보" 테이블 HTML 파싱 → 학과/학번/이름/학년/등록상태 추출
   │
   ▼
[Member 조회 or 신규 등록]  → 첫 로그인 시 Exp 생성 + 엽전 보상 지급 + Faculty 매핑
   │
   ▼
[JWT 발급]  AccessToken(1h) + RefreshToken(7d)
   ├─ 웹   : RefreshToken 을 HttpOnly 쿠키(Set-Cookie)로 내려줌, AccessToken 은 응답 바디
   └─ 모바일: AccessToken + RefreshToken 모두 JSON 응답 바디로 내려줌
   │
   ▼
이후 모든 요청은 TokenAuthenticationFilter 가 Bearer AccessToken 검증 (STATELESS)

---

🧩 핵심 컴포넌트 / 파일 경로

계층	클래스	경로
Controller	AuthController	SM-Web/.../web/controller/api/AuthController.java
Application	AuthApplicationService	SM-Application/.../application/service/AuthApplicationService.java
Domain(인증핵심)	SejongPortalAuthenticator	SM-Domain-Auth/.../auth/service/SejongPortalAuthenticator.java
Domain(토큰)	JwtUtil	SM-Domain-Auth/.../auth/util/JwtUtil.java
Domain(필터)	TokenAuthenticationFilter	SM-Domain-Auth/.../auth/filter/TokenAuthenticationFilter.java
Domain(유저로드)	CustomUserDetailsService	SM-Domain-Auth/.../auth/service/CustomUserDetailsService.java
Config	WebSecurityConfig	SM-Web/.../web/config/WebSecurityConfig.java
Common(화이트리스트)	SecurityUrls	SM-Common/.../dto/SecurityUrls.java
DTO	AuthCommand / AuthDto	SM-Domain-Auth/.../auth/dto/

---

🛰️ 1. 세종포털 크롤링 인증 (SejongPortalAuthenticator)

• 진입점: getMemberAuthInfos(AuthCommand) (L48)
  • sejongPortalId, sejongPortalPassword 두 값을 입력으로 받음 (AuthCommand L26~27).
• 테스트 계정 분기 (L52~55): 학번이 "9"로 시작하면 세종포털을 거치지 않고 getTestInfos()로 우회 → test_member 테이블에서 조회 후 BCrypt 비밀번호 매칭(L92~112).
• 실제 인증 단계:
  1. 포털 로그인 doPortalLogin() (L117~143)
     • POST https://portal.sejong.ac.kr/jsp/login/login_action.jsp
     • form 파라미터: mainLogin=N, rtUrl=library.sejong.ac.kr, id, password
     • 헤더: Host, Referer, Cookie: chknos=false
  2. SSO 리다이렉트 (L65~72)
     • GET http://classic.sejong.ac.kr/_custom/sejong/sso/sso-return.jsp?returnUrl=... 로 세션(쿠키) 확보
  3. 데이터 페이지 수집 fetchReadingStatusHtml() (L150~165)
     • GET https://classic.sejong.ac.kr/classic/reading/status.do → HTML 문자열 반환
  4. HTML 파싱 parseHTMLAndGetMemberInfo() (L173~198)
     • Jsoup selector: .b-con-box:has(h4.b-h4-tit01:contains(사용자 정보)) table.b-board-table tbody tr
     • 테이블 행 순서로 학과(0) / 학번(1) / 이름(2) / 학년(3) / 등록상태(4) 추출 → AuthDto 빌드
• HTTP 클라이언트 buildClient() (L234~263)
  • OkHttpClient 사용. 쿠키 자동관리(JavaNetCookieJar, CookiePolicy.ACCEPT_ALL).
  • ⚠️ SSL 검증 전면 비활성화: trustAllManager()(모든 인증서 신뢰, L268~279) + hostnameVerifier = (h,s) -> true(L242).
• 재시도 executeWithRetry() (L211~226): SocketTimeoutException 시 최대 3회 재시도, 실패 시 SEJONG_AUTH_CONNECTION_ERROR.

---

👤 2. 회원 처리 (AuthApplicationService)

• 인증 결과(AuthDto)의 학번으로 memberRepository.findByStudentId() 조회, 없으면 신규 등록 (signIn L78117 / signInForMobile L242281).
  • 신규 회원 기본 권한 ROLE_USER, AdminProperties.isAdmin(studentId)면 ROLE_ADMIN 추가.
  • 신규 회원에 Exp 엔티티(티어 R, exp 0) 생성.
  • 닉네임은 UUID 앞 6자리로 임시 생성(uuidNickname).
• 첫 로그인(isFirstLogin)이면 엽전 보상 지급(yeopjeonProperties.getCreateAccount()) 후 플래그 해제 (L141~154).
• 회원의 major로 Faculty(단과대) 매핑 (departmentRepository.findDeptMPrintOrDeptSPrint, L124~138). 매핑 실패 시 NOT_FOUND 처리.
• lastLoginTime 갱신 후 저장.
• ⚠️ 비밀번호는 우리 DB에 저장하지 않음: 세종포털 인증에만 사용하고, Member에는 학번·이름·학과·학년·상태만 저장.

---

🔑 3. JWT 토큰 (JwtUtil)

• 설정값(@Value): jwt.secret-key, jwt.access-exp-time(=3600000ms / 1h), jwt.refresh-exp-time(=604800000ms / 7d), jwt.issuer(=SEJONG_MALSAMI).
• 토큰 생성 createToken() (L104~115): subject=memberId, claim으로 category(access|refresh), username(memberId), issuer, iat, exp 포함. 서명은 HMAC-SHA (Base64 디코딩한 secret-key → Keys.hmacShaKeyFor).
• validateToken() (L123~144): 만료(ExpiredJwtException)는 호출부로 재던지고, 그 외(지원안함/형식오류/서명오류/빈값)는 false 반환.
• RefreshToken 저장: MongoDB RefreshToken(token, memberId, expiryDate) 컬렉션에 저장.

토큰 전달 방식 (웹 vs 모바일)

구분	AccessToken	RefreshToken
웹 (/signin)	응답 바디(AuthDto.accessToken)	HttpOnly 쿠키 (Set-Cookie, SameSite=None; Secure; HttpOnly)
모바일 (/mobile/signin)	응답 바디	응답 바디(JSON, 쿠키 미사용)

• 토큰 갱신: 웹 refreshAccessToken()(쿠키에서 RefreshToken 추출 → Access 재발급), 모바일 refreshTokensForMobile()(Access+Refresh 모두 재발급, 기존 Refresh 삭제 후 신규 저장).

---

🛡️ 4. Spring Security / 필터 (WebSecurityConfig + TokenAuthenticationFilter)

• 세션 STATELESS, csrf/httpBasic/formLogin 비활성화 (WebSecurityConfig L56~111).
• 인가 규칙: SecurityUrls.AUTH_WHITELIST permitAll, SecurityUrls.ADMIN_PATHS 는 ROLE_ADMIN, 그 외 인증 필요.
  • 화이트리스트 예: /api/auth/signin, /api/auth/mobile/signin, /api/auth/refresh, Swagger(/docs/**, /v3/api-docs/**), 관리자 페이지 로그인(/login) 등 (SecurityUrls L14~).
• CORS: 허용 Origin 6종(시놀로지 외부 도메인 2 + localhost 4), allowCredentials=true (L4249, L132144).
• TokenAuthenticationFilter (addFilterBefore, UsernamePasswordAuthenticationFilter 앞):
  • 화이트리스트면 통과(L44~47).
  • /api/**: Authorization: Bearer <token>에서 추출(L57~62).
  • /admin/**: Authorization 헤더 우선, 없으면 accessToken 파라미터(L63~74).
  • 검증 성공 시 CustomUserDetailsService.loadUserByUsername(memberId) 로드 → SecurityContext 인증 설정(L78~82).
  • 실패 시 API는 JSON 에러(MISSING_AUTH_TOKEN / INVALID_ACCESS_TOKEN / EXPIRED_ACCESS_TOKEN), 관리자 페이지는 /login 리다이렉트.
• CustomUserDetailsService (L22~38): username = memberId(UUID) 기준으로 Member 조회 → CustomUserDetails 반환. 권한은 Member.roles 기반.

---

🧪 5. 테스트 계정 우회 (학번 9...)

• 학번이 9로 시작하면 세종포털을 호출하지 않고 PostgreSQL test_member에서 조회(SejongPortalAuthenticator.getTestInfos L92~112).
• 비밀번호는 BCrypt(PasswordEncoder.matches)로 매칭.
• 앱 심사·로컬/QA 테스트 등 실제 세종포털 인증이 어려운 환경을 위한 장치로 보임.

---

📌 참고: 분석에서 관찰된 잠재 리스크 (작업 아님, 기록용)

• 외부 HTML 구조 결합: 세종포털 페이지 구조/엔드포인트 변경 시 로그인 전체가 즉시 실패 가능 (Jsoup selector 의존).
• SSL 검증 전면 비활성화(trustAllManager + hostnameVerifier true): MITM 관점에서 위험. (세종포털 인증서 이슈 회피 목적으로 추정)
• 쿠키 Secure/SameSite 분기: 코드상 setSecure(false) + 수동 Set-Cookie에서는 Secure; SameSite=None 을 붙이는 등 환경별 분기에 FIXME 주석 다수 존재.
• 민감정보 로깅: AuthApplicationService에 accessToken/refreshToken 값을 log.info로 출력하는 코드 존재(L168169, L332333 등).

위 리스크들은 본 이슈에서 수정하지 않는다. 추후 개선이 필요하다면 각 항목별로 별도 이슈를 분리해 다룬다.

---

🛠️ 해결 방안 / 제안

• 본 이슈는 현황 분석·문서화 전용이며 별도 코드 작업을 동반하지 않는다.
• 본문 내용은 추후 인증 리팩토링·보안 개선·세종포털 변경 대응 논의 시 공통 레퍼런스로 활용한다.

🙋‍♂️ 담당자

• 백엔드: -
• 프론트엔드: -
• 디자인: -

[Cassiiopeia]

Guide by SUH-LAB

브랜치

20260618_#941_세종말싸미_서비스_내_세종대_로그인_인증_구현_현황_분석

커밋 메시지

세종말싸미 서비스 내 세종대 로그인 인증 구현 현황 분석 : feat : {변경 사항에 대한 설명} https://github.com/Sejong-Balsamic/Malsami-BE/issues/941