MSG CTF

담당 역할

Tech Stack

아키텍처 / ERD

클라이언트는 Spring Boot API로 로그인/회원가입 요청을 보내고, 로그인 성공 시 Access Token은 Authorization 헤더로, Refresh Token은 HttpOnly Cookie로 전달됩니다. JWT 필터는 Access Token의 만료 여부, tokenType, 블랙리스트 여부를 검증한 뒤 SecurityContext에 loginId와 role을 설정합니다. 이메일 인증 코드는 Redis에 5분 TTL로 저장하고, 인증 성공 여부는 30분 TTL로 보관해 회원가입 단계에서 확인했습니다. 시스템 아키텍처와 ERD는 Renewal 프로젝트와 같은 자료를 공유합니다.

시스템 아키텍처

README에 정리된 MSG CTF 운영 구조입니다. 백엔드, 프론트엔드, DB, Redis, NGINX, Discord Bot이 함께 동작하는 전체 맥락을 보여줍니다.

ERD

유저, 문제, 제출 기록, 리더보드, 토큰 데이터의 관계를 보여줍니다. 회원 인증과 대회 기록이 어떻게 연결되는지 설명하는 보조 자료로 사용했습니다.

주요 기능

• ✓회원가입 시 ID, 이메일, 비밀번호 형식과 중복 여부를 검증하고, 학교 이메일 도메인만 가입할 수 있도록 제한했습니다. 일반 회원가입 요청에서는 role을 항상 ROLE_USER로 고정해 사용자가 요청 본문으로 관리자 권한을 지정하지 못하도록 했습니다.
• ✓Gmail SMTP로 6자리 이메일 인증 코드를 전송하고, Redis에 인증 코드와 인증 완료 상태를 TTL 기반으로 저장했습니다. 인증 시도 횟수를 제한해 잘못된 코드 반복 입력을 방지했습니다.
• ✓로그인 성공 시 Access Token과 Refresh Token을 분리 발급했습니다. Access Token은 Authorization 헤더로, Refresh Token은 HttpOnly Cookie와 DB에 저장해 토큰 재발급과 로그아웃 흐름을 구성했습니다.
• ✓로그아웃 시 Refresh Token을 삭제하고 Access Token을 블랙리스트에 저장해 같은 Access Token으로 다시 인증되는 문제를 막았습니다. 만료된 블랙리스트 토큰은 스케줄러로 주기적으로 정리하도록 구현했습니다.
• ✓문제 전체 조회와 특정 문제 상세 조회 API를 구현하고, 문제 상세 응답에 solvers 필드를 추가했습니다. 프론트엔드가 문제별 풀이 인원 정보를 함께 표시할 수 있도록 응답 데이터를 보강했습니다.

트러블슈팅

• 회원가입 권한 상승 가능성문제 상황초기 회원가입 요청에서 role 값을 사용자가 직접 전달할 수 있으면, 일반 사용자가 요청 본문에 admin 권한을 넣어 가입을 시도할 수 있었습니다.해결 방안일반 회원가입에서는 요청 role을 신뢰하지 않고 ROLE_USER로 고정했습니다.관리자 계정 생성은 별도 관리자 API 흐름으로 분리해 공개 회원가입과 권한 부여 책임을 나눴습니다.결과외부 사용자가 회원가입 API만으로 관리자 권한을 얻을 수 있는 경로를 차단했습니다.
• 이메일 인증 코드 만료와 반복 시도 문제문제 상황학교 이메일 인증 없이 회원가입이 가능하거나, 인증 코드를 무제한으로 시도할 수 있으면 대회 참가자 검증이 약해질 수 있었습니다.해결 방안인증 코드는 Redis에 5분 TTL로 저장하고, 인증 성공 상태는 30분 TTL로 저장했습니다.잘못된 인증 시도는 email 기준으로 카운트하고 5회를 넘으면 인증 코드와 시도 횟수 키를 삭제하도록 처리했습니다.결과학교 이메일 인증을 회원가입의 필수 단계로 만들고, 만료/오입력/반복 시도 상황을 명확히 제어했습니다.
• 로그아웃 후 Access Token 재사용 문제문제 상황초기 로그아웃 흐름은 Refresh Token 삭제 중심이어서, 이미 발급된 Access Token이 만료 전까지 남아 있으면 같은 토큰으로 인증 요청이 가능할 수 있었습니다.해결 방안로그아웃 시 Access Token을 블랙리스트 테이블에 저장하고, JwtFilter에서 블랙리스트 토큰이면 요청을 거부하도록 수정했습니다.토큰 만료 시간이 지난 블랙리스트 데이터는 30분 주기 스케줄러로 삭제했습니다.결과로그아웃된 Access Token의 재사용을 서버 측에서 차단하고, 블랙리스트 데이터가 무기한 쌓이지 않도록 관리했습니다.

아쉬웠던 점