feat: IdP 3라운드 개선 — 보안·기능·테스트·운영 마감

.env.example

@@ -6,6 +6,15 @@
 # - node:       순수 Node 서버 (adapter-node). platform 바인딩 없음 → pg/mysql 은
 #               DATABASE_URL 로 직결, 설정값은 process.env 로 읽는다. (D1 은 Workers 전용)
 #     예) BUILD_TARGET=node DB_DIALECT=postgres bun run build && node build
+#
+# 레이트 리밋 저장소(RateLimitStore)는 배포 타깃에 따라 자동 선택된다:
+# - cloudflare(Workers): 요청 간 상태를 공유할 수 없는 isolate 특성상 DB(rate_limits 테이블)
+#                        기반 공유 저장소를 사용한다.
+# - node(adapter-node) : 프로세스 내 in-memory 저장소를 사용한다(핫패스 DB write 없음).
+#     ⚠️ in-memory 는 "단일 프로세스" 가정이다. 같은 앱을 여러 인스턴스로 수평 확장하면
+#        각 인스턴스가 자기 카운터만 보므로 실질 한도가 인스턴스 수만큼 완화된다.
+#        다중 인스턴스 Node 배포에서 엄격한 전역 한도가 필요하면 공유 저장소(Redis 등)로
+#        RateLimitStore 를 교체해야 한다(인터페이스는 열려 있으나 이번 버전엔 미포함).
 BUILD_TARGET="cloudflare"
 
 # DB_DIALECT: d1(기본) | sqlite | postgres | mysql  — 배포 단위로 하나만 사용
@@ -71,11 +80,14 @@ IDP_DEFAULT_TENANT_NAME="My Organization"
 
 # 서명 키 암호화 KEK — 최소 32자 랜덤 문자열
 # 생성: openssl rand -base64 32
+# ⚠️ 프로덕션 필수: 미설정 시 요청 초기에 오류로 차단(fail-fast). dev 에서는 생략 가능.
 # ⚠️ 프로덕션에서는 wrangler secret put IDP_SIGNING_KEY_SECRET 사용
 IDP_SIGNING_KEY_SECRET="your-very-long-random-secret-at-least-32-chars"
 
 # OIDC/SAML issuer URL (배포 도메인과 일치시킬 것)
-# 미설정 시 요청 origin으로 자동 대체 (로컬 개발 시 http://localhost:5173)
+# ⚠️ 프로덕션 필수: 미설정 시 요청 초기에 503 으로 차단(fail-closed). Host 헤더 주입으로
+#    iss 클레임/SAML Issuer 가 오염되는 것을 막는다.
+# dev 에서만 미설정 시 요청 origin 으로 자동 대체(로컬 http://localhost:5173).
 IDP_ISSUER_URL="http://localhost:5173"
 
 SMTP_HOSTNAME=""

.github/workflows/ci.yml

@@ -82,6 +82,14 @@ jobs:
             - name: Test
               run: bun run test
 
+            - name: Migration drift check
+              run: |
+                  bun run db:generate:all
+                  if ! git diff --exit-code -- drizzle; then
+                    echo "::error::스키마가 변경되었으나 마이그레이션이 생성되지 않았습니다. 'bun run db:generate:all' 실행 후 drizzle*/ 변경분을 커밋하세요." >&2
+                    exit 1
+                  fi
+
             - name: Build
               run: bun run build
 

.gitignore

@@ -21,6 +21,12 @@ Thumbs.db
 # Vite
 vite.config.js.timestamp-*
 vite.config.ts.timestamp-*
+
+# Test coverage
+/coverage
+
+# ESLint cache
+.eslintcache
 # SQLite
 *.db
 

.gitleaksignore

@@ -1,2 +1,11 @@
 # False positive: "pbkdf2/argon2id" 는 credentials.secret 컬럼이 어떤 해시 알고리즘 형식을 저장하는지 설명하는 문자열일 뿐, 실제 시크릿이 아님
 02bc8b64f32a78d60cc39c46acfd6d49b384cbbd:src/lib/server/db/schema.ts:generic-api-key:62
+
+# False positive: 테스트 시드용 고정 비밀번호("pw-strong-123") — 실제 시크릿 아님
+57e8e95ccc4038c7a631a7c3318efcb446c15c8e:test/integration/p12-logic.test.ts:generic-api-key:45
+
+# False positive: AES-GCM 도메인 분리 라벨 문자열("idp-signing-key-wrap-v1") — 실제 시크릿 아님
+e83b290fba4a75c4c989434b024b589c1e256918:scripts/reencrypt-secrets.ts:generic-api-key:194
+
+# False positive: 테스트 상수("wrap-secret-0123456789") — 실제 시크릿 아님
+d48992c3dd491706b9795d1e2ae3de3d234eadcf:test/unit/crypto-keys.test.ts:generic-api-key:204

README.md

@@ -197,16 +197,16 @@ wrangler secret put IDP_SIGNING_KEY_SECRET
 
 ## 환경변수
 
-| 변수                                | 필수 | 설명                                                                                     |
-| ----------------------------------- | ---- | ---------------------------------------------------------------------------------------- |
-| `IDP_ISSUER_URL`                    | ✅   | OIDC/SAML 발급자 URL (배포 도메인과 일치)                                                |
-| `IDP_SIGNING_KEY_SECRET`            | ✅   | 서명 키 암호화 KEK (프로덕션은 반드시 Secret)                                            |
-| `DISPATCHER_SERVICE_TOKEN`          | 선택 | stardust dispatcher 가 `/api/totp/*` 호출 시 사용할 Bearer 토큰. 미설정이면 해당 API 503 |
-| `IDP_DEFAULT_TENANT_NAME`           | 선택 | 기본 테넌트 이름 (기본: `My Organization`)                                               |
-| `CLOUDFLARE_ACCOUNT_ID`             | 선택 | Cloudflare 계정 ID (마이그레이션 스크립트에서 사용)                                      |
-| `CLOUDFLARE_D1_DATABASE_ID`         | 선택 | D1 데이터베이스 ID (마이그레이션 스크립트에서 사용)                                      |
-| `CLOUDFLARE_D1_PREVIEW_DATABASE_ID` | 선택 | 프리뷰용 D1 데이터베이스 ID                                                              |
-| `CLOUDFLARE_D1_TOKEN`               | 선택 | D1 API 토큰 (`db:migrate` 스크립트에서 사용)                                             |
+| 변수                                | 필수 | 설명                                                                                                                                  |
+| ----------------------------------- | ---- | ------------------------------------------------------------------------------------------------------------------------------------- |
+| `IDP_ISSUER_URL`                    | ✅   | OIDC/SAML 발급자 URL (배포 도메인과 일치). **프로덕션 필수** — 미설정 시 요청 초기 503(fail-closed). dev 에서만 요청 origin 자동 대체 |
+| `IDP_SIGNING_KEY_SECRET`            | ✅   | 서명 키 암호화 KEK (프로덕션은 반드시 Secret). **프로덕션 필수** — 미설정 시 요청 초기에 오류로 차단(fail-fast)                       |
+| `DISPATCHER_SERVICE_TOKEN`          | 선택 | stardust dispatcher 가 `/api/totp/*` 호출 시 사용할 Bearer 토큰. 미설정이면 해당 API 503                                              |
+| `IDP_DEFAULT_TENANT_NAME`           | 선택 | 기본 테넌트 이름 (기본: `My Organization`)                                                                                            |
+| `CLOUDFLARE_ACCOUNT_ID`             | 선택 | Cloudflare 계정 ID (마이그레이션 스크립트에서 사용)                                                                                   |
+| `CLOUDFLARE_D1_DATABASE_ID`         | 선택 | D1 데이터베이스 ID (마이그레이션 스크립트에서 사용)                                                                                   |
+| `CLOUDFLARE_D1_PREVIEW_DATABASE_ID` | 선택 | 프리뷰용 D1 데이터베이스 ID                                                                                                           |
+| `CLOUDFLARE_D1_TOKEN`               | 선택 | D1 API 토큰 (`db:migrate` 스크립트에서 사용)                                                                                          |
 
 > **참고**: 초기 관리자 계정은 `bun run setup` 이 생성합니다. 수동/CI 시드가 필요하면 `IDP_BOOTSTRAP_ADMIN_USERNAME` / `IDP_BOOTSTRAP_ADMIN_EMAIL` / `IDP_BOOTSTRAP_ADMIN_PASSWORD` (+선택 `IDP_BOOTSTRAP_ADMIN_NAME`) 를 설정하고 `bun run db:seed`(방언별: `db:seed:pg` 등)를 실행하세요. 비대화 환경에서는 `SEED_RESET=0|1` 로 초기화 여부를 지정합니다.