Refactor/jira kan 71 token 쿠키 저장 및 redis aof rdb 고려 by usingjun · Pull Request #85 · Bumblebee-Bee/XChangePass

usingjun · 2025-04-08T01:54:19Z

🛠️ 과제 요약

token 쿠키 저장 및 redis aof rdb 고려
예약 송금 & 이상 감지 적용

📝 요구 사항과 구현 내용

access, refresh Token httpOnly로 쿠키 저장
redis aof & rdb 모두 적용해 보안성 높임
refreshToken tokenRotate 적용해 재사용 불가능 설정
예약 송금 구현
이상 감지 적용(한도 초과, 5분 내 거래 횟수 초과, 동일 금액 반복, 심야 시간대 거래)

✅ 피드백 반영사항

피드백 받은 내용과 반영된 결과 적기

💬 PR 포인트 & 궁금한 점

예약 송금은 @Scheduler 사용해 1분마다 송금 가능하게 구현
dto에 @FutureOrPresent 적용해 바로 송금하거나 예약 송금 적용
redisTemplate와 Lua 스크립트 적용해 이상탐지

🔗 연관된 이슈

열린 이슈를 닫고싶으면
close #이슈번호 [이슈제목]
이슈를 닫지 않을 거라면 작성X

…-및-redis-aof-rdb-고려 # Conflicts: # src/test/java/bumblebee/xchangepass/config/TestUserInitializer.java

…-및-redis-aof-rdb-고려 # Conflicts: # build.gradle

Si-rauis

이 부분 한 번 확인부탁드립니다!

Si-rauis · 2025-04-08T02:53:26Z

src/main/java/bumblebee/xchangepass/domain/user/login/LoginController.java

+        ResponseCookie refreshCookie = loginService.saveRefreshToken(response);
+
+        return ResponseEntity.ok()
+                .header("Set-Cookie", accessCookie.toString())


access 토큰도 쿠키로 반환하는 것일까요?

네 accessToken을 localStorage에 저장하게 되면 XSS 공격 시 토큰이 노출될 수 있는데
이를 HttpOnly 쿠키에 저장하면 XSS에 더 안전하게 됩니다.

Si-rauis · 2025-04-08T09:08:18Z

build.gradle

    testImplementation "org.testcontainers:testcontainers:1.19.2"                   // Docker 기반 통합 테스트 지원 (Testcontainers 기본 라이브러리)
    testImplementation "org.testcontainers:junit-jupiter:1.19.2"                    // JUnit 5(Testcontainers 연동) 지원
    testImplementation 'org.testcontainers:postgresql:1.19.2'
+    testImplementation "org.testcontainers:redis:1.19.1"


testImplementation 'com.redis:testcontainers-redis:2.2.2' // Redis용 Testcontainers (테스트 환경에서 Redis 컨테이너 실행) 이것과 다른 의존성인가요?

알아보니 "org.testcontainers:redis:1.19.1"는

Redis 클러스터 모드 테스트 (노드 여러 개로 분산)

Redis Sentinel 기반 장애 조치 테스트

Streams, Pub/Sub, RedisTimeSeries 등 특화 모듈 테스트

복잡한 상태 시뮬레이션 (failover, re-shard 등)
등의 고급 테스트 시나리오에 사용된다고 합니다.

저희 프로젝트는 단일 redis 인스턴스만을 띄우고 있기때문에 불필요하다고 판단합니다.

Si-rauis · 2025-04-08T09:10:10Z

src/main/java/bumblebee/xchangepass/domain/refresh/repository/RefreshTokenRepository.java

        return storedToken != null && storedToken.equals(refreshToken);
    }
+
+    public String getRefreshToken(Long userId) {


일관성을 위해서 주석을 추가해주시면 감사하겠습니다

Si-rauis · 2025-04-08T09:12:49Z

src/main/java/bumblebee/xchangepass/domain/refresh/service/RefreshTokenService.java

        Long userId = refreshTokenRepository.getUserIdFromRefreshToken(refreshToken);

+        // Redis에 저장된 토큰과 비교 → 재사용 감지
+        String storedToken = refreshTokenRepository.getRefreshToken(userId);


이 로직으로 볼 때 Redis에 전에 사용했던 refreshToken을 누적시키는 것 처럼 보이는데 redis의 용량은 한정적인데 방안이 있을까요?

RefreshToken Rotate방식을 적용해서 RefreshToken을 사용하면 레디스에서 삭제후 재발급하는 방식을 사용하고있습니다.

if (storedToken == null || !storedToken.equals(refreshToken)) {
// 이미 사용된 토큰 or 위조된 토큰 → 재사용 시도
refreshTokenRepository.deleteRefreshToken(userId); // Redis 강제 삭제

throw ErrorCode.REFRESH_TOKEN_INVALID.commonException();

}

Si-rauis · 2025-04-08T09:14:16Z

src/main/java/bumblebee/xchangepass/domain/refresh/service/RefreshTokenService.java

+                .secure(true)
+                .path("/")
+                .maxAge(60 * 60 * 24 * 7)
+                .sameSite("Strict")


sameStite 설정의 경우 https 도메인이 아니면 의미가 없는데 대체 방안이 있을까요?

금융서비스 특징상 https를 사용할 것이라 생각해서 만들었습니다만 만약 아니라면
.sameSite("Lax")를 적용해서 최소한의 CSRF 방어하겠습니다

Si-rauis · 2025-04-08T09:15:09Z

src/main/java/bumblebee/xchangepass/domain/user/login/LoginController.java

+                .header("Set-Cookie", accessCookie.toString())
+                .header("Set-Cookie", refreshCookie.toString())


대체적으로 access 로컬 / refresh 쿠키로 저장하는게 일반적인데 access도 쿠키로 저장하는 이유가 있을까요?

Si-rauis · 2025-04-08T09:16:30Z

src/main/java/bumblebee/xchangepass/domain/wallet/balance/service/WalletBalanceService.java

@@ -75,6 +79,13 @@ public void withdrawBalance(WalletBalance balance, BigDecimal amount) {
    }



walletbalance 서버스도 다른 서버스와 같이 간단하게 주석을 추가해주실 수 있을까요?

…-및-redis-aof-rdb-고려

Si-rauis

수고하셨습니다!

usingjun added 30 commits April 3, 2025 19:39

🔥 Remove: 불필요한 파일 삭제

6f9ccf6

♻️ Refactor: token 쿠키 저장 controller

f10fa0a

♻️ Refactor: token 쿠키 저장 service

53c468b

🗑️ Chore: 의존성 업데이트

494ed54

Merge branch 'develop' into Refactor/JIRA-kan-71-refactor-token-쿠키-저장…

fb0c5c7

…-및-redis-aof-rdb-고려 # Conflicts: # src/test/java/bumblebee/xchangepass/config/TestUserInitializer.java

🗑️ Chore: 의존성 업데이트

b6571c2

🔨 Build: docker-compose aof & rdb 설정

8b40fe5

🔧 Fix: 버그 수정

863e48b

🗑️ Chore: 의존성 업데이트

4c23f33

♻️ Refactor: accessToken 쿠키 저장

ac134d5

♻️ Refactor: RefreshToken 재사용 감지 + Rotation 전략

bf21c86

♻️ Refactor: RefreshToken 재사용 감지 + Rotation 전략

5d40a4e

♻️ Refactor: controller body로 토큰 반환 삭제

0020ee0

♻️ Refactor: RefreshToken 재사용 감지 + Rotation 전략 테스트

e33e228

♻️ Refactor: 예약 송금 서비스단 수정

c46f601

♻️ Refactor: 예약 송금 테스트 수정

f52f1b1

♻️ Refactor: 예약 송금 controller 수정

1f57e96

✨ Feat: 예약 송금 타입, 상태, 엔티티 추가

8507afb

✨ Feat: 예약 송금 리포지토리 추가

b1c2267

✨ Feat: 예약 송금 서비스 추가

8f1d222

♻️ Refactor: 예약 송금 dto 수정

6b755c4

🔥 Remove: 불필요한 파일 삭제

3a03bd4

♻️ Refactor: SlackNotifier 수정 및 이상감지 알림

a36e277

♻️ Refactor: SlackNotifier 수정 및 이상감지 알림

e3bd0b6

♻️ Refactor: SlackNotifier 수정 및 이상감지 알림

2cf67f4

✨ Feat: redis 기반 이상감지 Service 생성

f23cb1d

✨ Feat: 이상감지 dto 생성

409ad86

✨ Feat: lua 스크립트로 이상탐지 체크

eece890

✨ Feat: lua 스크립트로 이상탐지 체크

e1fc08a

♻️ Refactor: FraudDetectEvent 값 사용하는 것 수정

c042020

usingjun added the 🔨 Refactor 코드 리팩토링 label Apr 8, 2025

usingjun requested review from CryingPerson and Si-rauis April 8, 2025 01:54

usingjun self-assigned this Apr 8, 2025

usingjun linked an issue Apr 8, 2025 that may be closed by this pull request

KAN-71 [Refactor] token 쿠키 저장 및 redis aof & rdb 고려 #81

Closed

2 tasks

usingjun added 10 commits April 8, 2025 10:55

🔧 Fix: 순환참조 버그 수정

dfde3ec

✨ Feat: 예약송금, 이상탐지 테스트 코드

5594ef4

Merge branch 'develop' into Refactor/JIRA-kan-71-refactor-token-쿠키-저장…

aed8718

…-및-redis-aof-rdb-고려 # Conflicts: # build.gradle

🔧 Fix: 버그 수정

f335bb2

🔧 Fix: 버그 수정

fcb8e97

🔧 Fix: 순환참조 버그 수정

1b96ef8

♻️ Refactor: WalletFacade 적용

b9c9393

🗑️ Chore: 의존성 업데이트

723313e

✅ Test: 테스트 코드 수정

fdbaf57

♻️ Refactor: 룰 기반 실행 리팩토링

d578af0

Si-rauis reviewed Apr 8, 2025

View reviewed changes

usingjun added 7 commits April 8, 2025 23:33

Merge branch 'develop' into Refactor/JIRA-kan-71-refactor-token-쿠키-저장…

fe8ae75

…-및-redis-aof-rdb-고려

🎨 Style: 주석 추가

7c282d5

🗑️ Chore: 의존성 업데이트

449f2a3

✅ Test: 테스트 코드 수정

7367188

🎨 Style: 주석 수정

29115a5

🔧 Fix: Lazy Loading 버그 수정

2991170

✅ Test: 테스트 코드 수정

5399d58

Si-rauis approved these changes Apr 9, 2025

View reviewed changes

usingjun merged commit 32fcf85 into develop Apr 9, 2025
1 check passed

usingjun deleted the Refactor/JIRA-kan-71-refactor-token-쿠키-저장-및-redis-aof-rdb-고려 branch April 9, 2025 00:36

		.header("Set-Cookie", accessCookie.toString())
		.header("Set-Cookie", refreshCookie.toString())

		@@ -75,6 +79,13 @@ public void withdrawBalance(WalletBalance balance, BigDecimal amount) {
		}

Conversation

usingjun commented Apr 8, 2025

🛠️ 과제 요약

📝 요구 사항과 구현 내용

✅ 피드백 반영사항

💬 PR 포인트 & 궁금한 점

🔗 연관된 이슈

Uh oh!

Si-rauis left a comment

Choose a reason for hiding this comment

Uh oh!

Choose a reason for hiding this comment

Uh oh!

Choose a reason for hiding this comment

Uh oh!

Choose a reason for hiding this comment

Uh oh!

Choose a reason for hiding this comment

Uh oh!

Choose a reason for hiding this comment

Uh oh!

Choose a reason for hiding this comment

Uh oh!

usingjun Apr 8, 2025 • edited Loading Uh oh! There was an error while loading. Please reload this page.

Uh oh!

Choose a reason for hiding this comment

Uh oh!

Choose a reason for hiding this comment

Uh oh!

Choose a reason for hiding this comment

Uh oh!

Choose a reason for hiding this comment

Uh oh!

Choose a reason for hiding this comment

Uh oh!

Choose a reason for hiding this comment

Uh oh!

Si-rauis left a comment

Choose a reason for hiding this comment

Uh oh!

Uh oh!

Reviewers

Assignees

Labels

Projects

Milestone

Development

Uh oh!

2 participants

usingjun Apr 8, 2025 •

edited

Loading