oshi@log

증상 하나만 고치지 않고 같은 형태를 전수 조사해 리포지토리 6개 41군데를 CAST로 닫았습니다. 파라미터 21개가 전부 nullable 선언이라 모두 도달 가능한 위험이었습니다.

이 프로젝트에는 이미 같은 실패를 겪고 넣어 둔 우회책이 있었습니다. 알림 아웃박스 리포지토리가 :xFilterEnabled 플래그와 구체 값을 함께 넘기는 방식입니다. 그 방식을 나머지로 퍼뜨리는 대신 CAST를 골랐습니다. 플래그 방식은 파라미터 목록이 두 배가 됩니다.

같이 나온 다른 500은 사진이 0장인 장소에서 SUM(CASE ...)이 NULL을 돌려주는데 프로젝션이 non-null Long을 선언한 것이었습니다. 프로젝션을 nullable로 바꾸는 대신 쿼리에서 COALESCE로 막았습니다. 호출자는 숫자를 원하고 숫자가 있음을 보장할 수 있는 곳은 DB뿐입니다.

회귀 테스트 두 개를 붙이고 수정 전 코드에서 실패하는지도 확인했습니다. CAST를 되돌리면 5건이 실패합니다. 둘 다 실제 PostgreSQL이 필요합니다. 목 리포지토리는 DB를 거치지 않아 이 오류가 재현되지 않기 때문입니다.

Cloudflare 공개 대역에 set_real_ip_from과 real_ip_header CF-Connecting-IP를 걸어 $remote_addr를 방문자로 되돌렸습니다. X-Forwarded-For에는 클라이언트가 보낸 값이 앞에 남을 수 있어 Cloudflare가 항상 덮어쓰는 CF-Connecting-IP를 골랐습니다. 대역 밖에서 온 요청은 nginx가 peer 주소를 그대로 두기 때문에 오리진을 직접 찔러도 헤더를 위조할 수 없습니다.

밴이 스스로를 갱신하는 문제도 있었습니다. 이미 차단된 주소의 노크에도 nginx가 444로 답하고 스캐너 jail이 그 444를 다시 세기 때문에 30일 밴이 영원히 만료되지 않았습니다. 액세스 로그에 blk=1을 덧붙여 필터가 그 줄을 무시하게 했습니다.

밴 기간은 30일 고정에서 하루부터 배로 늘려 최대 30일로 바꿨고 해제 시각은 5분까지 흩뜨렸습니다. 고정 30일은 오탐을 스캐너와 똑같이 처벌하고 운영자는 누가 접속이 안 된다고 알려 줘야만 알게 됩니다.

일회용 컨테이너로 호스트에서 검증했습니다. 22개 대역이 들어간 nginx 설정이 통과했고 fail2ban-regex가 blk=1 줄은 무시하고 실제 프로브 줄만 잡는 것을 확인했습니다.

일반 HTTP 런타임과 빈 UA를 목록에서 뺐습니다. sqlmap, nikto, nuclei, masscan 같은 도구는 남겼습니다. 실수로 보내는 방문자가 없어 오탐이 없기 때문입니다. /와 함께 favicon.ico, robots.txt도 무시 대상에 넣었습니다. /만 무시하면 브라우저가 첫 화면을 열고 곧바로 아이콘을 요청할 때 그다음 줄에서 그 방문자를 밴합니다. 401도 실패 패턴에서 뺐습니다. 이 오리진의 401은 자격증명 공격이 아니라 만료 토큰 폴링과 웹소켓 재연결입니다.

기각한 안이 셋입니다. UA 거절은 두고 밴만 빼는 안은, server 레벨 조건이 location보다 먼저 평가되어 스캐너 경로를 요청한 나쁜 UA까지 무시되므로 경로 증거가 사라집니다. 런북만 고쳐 UA를 위장하는 안은 증상만 옮기고 모바일 SDK와 서드파티 연동은 그대로 막힙니다. 임계값 상향은 401을 세는 것 자체가 틀린 상태에서 진짜 열거 탐지만 둔하게 만듭니다.

액세스 로그 262,600줄 기준으로 목록에서 뺀 UA의 트래픽은 요청의 1.3%입니다. 정책이 되돌아오지 않게 UA 정책 테스트를 빌드 단계에 등록했습니다.

왜 두 가드가 못 잡았는지부터 봤습니다. 테이블 존재 검사는 @Table과 @Query(nativeQuery = true)만 훑는데 문제의 SQL은 jdbcTemplate 문자열 리터럴이라 어느 쪽에도 안 걸립니다. "네이티브 SQL 111건 수식 완료"라는 기존 보고도 트리 전체 중 스윕이 만든 문장만 두고 한 진술이었습니다.

잡 105줄을 지웠습니다. 테이블이 없고 읽는 곳도 없으니 남길 이유가 없습니다. 나머지 두 건도 뿌리가 같았습니다. 가드의 정규식이 패키지 경로를 하드코딩해서 그 경로 밖 선언은 import든 별칭이든 완전수식 참조든 어떤 탐지 경로로도 표현되지 않습니다.

이번 검수에서 가드가 자기 정규식으로 표현할 수 없는 경우를 보고하지 못한다는 것을 확인했습니다. 기준선이 있다고 해서 기준선이 그 코드를 볼 수 있는 것은 아닙니다.

키 식을 현재 필드를 전부 명시해 나열하는 형태로 바꾸고 새 필드를 추가하면 키 식에도 넣도록 테스트로 강제했습니다. 필터를 JSON으로 만들어 해시를 키로 쓰는 안은 길이는 안정되지만 로그에서 키를 눈으로 읽을 수 없고 바뀐 필드만 골라 넣는 안은 복잡하고 실수하기 쉬워 둘 다 기각했습니다. 장소 ID 접두사는 접두사 단위 무효화가 계속 동작하도록 그대로 뒀습니다.

키 길이가 80자 안팎에서 250자 안팎으로 늘었습니다. 옛 포맷 엔트리가 TTL까지 남는 1회성 비용은 받아들였습니다.

소비 경로를 sorted set 기반 슬라이딩 윈도우로 바꿨습니다. Lua 스크립트 한 번 실행 안에서 윈도우 밖 이벤트를 지우고 현재 수를 세고 제한 미만일 때만 추가하므로 경합에서도 원자적입니다. 기존 시그니처를 유지해 호출부는 건드리지 않았습니다.

Redis 장애 쪽은 actuator 검사를 앞으로 옮기고 소비 호출을 fail-open으로 바꿨습니다. 모든 소비 호출을 감싸 연결 실패와 데이터 접근 예외를 잡은 뒤 경고 로그를 남기고 통과시킵니다. 텍스트 핑거프린트 스팸 가드도 같은 기준입니다. 도배 탐지율이 잠깐 떨어지는 쪽이 서비스가 막히는 쪽보다 낫다고 봤습니다.

대가로 윈도우 안의 요청 이벤트를 들고 있어야 해서 고정 윈도우보다 Redis 메모리를 더 씁니다.

규칙을 테이블로 옮기고 하드코딩 맵을 지웠습니다. 읽기에는 캐시를, 쓰기에는 무효화를 붙이고 어드민 CRUD를 열었습니다. 커스텀 규칙은 네 가지입니다. 방문·라이브 누적이 임계값 이상인 경우와, 지정한 장소·라이브 전체를 채운 경우입니다. 평가는 방문·라이브 이벤트가 발행될 때 리스너가 받아서 합니다.

규칙 항목을 JSON 배열 한 컬럼에 담는 안은 조인도 IN 절 배치 조회도 못 해서 기각하고 자식 테이블로 뒀습니다. 룰 서비스를 따로 떼는 안은 지금 규모에서 과합니다. 활성 칭호는 프로젝트마다 하나이고 전역 칭호와 프로젝트 칭호를 한 테이블에서 다루려고 PK를 사용자와 프로젝트 조합으로 잡았습니다.

배포 없이 규칙을 추가하고 바꾸고 끌 수 있게 됐습니다. 대신 방문마다 이벤트가 발행돼 평가 빈도가 늘어 캐시와 인덱스로 완화했습니다. 항목이 0건인 집합 규칙이 즉시 부여되는 엣지 케이스는 부채로 남겨 뒀습니다.

마이그레이션 SQL은 그대로 두고 Flyway 설정에서 트랜잭션 락을 끄는 쪽을 골랐습니다. 대용량 테이블에서 블로킹이 적은 인덱스 생성 전략을 포기하고 싶지 않았습니다. 대가로 PostgreSQL 마이그레이션 락이 트랜잭션 기반에서 세션 기반으로 바뀝니다.

IHOP을 기본값으로 되돌리고 예약 비율을 올렸습니다. Metaspace 상한을 복구하고 커넥션 풀에 keepalive를 넣었습니다. ZGC와 Shenandoah는 2 vCPU에서 오버헤드가 이득보다 크고 IHOP을 더 올리는 안은 3GB 힙에서 너무 늦어 버스트 때 full GC 위험이 있어 모두 기각했습니다.

같이 넣었던 새 세대 크기 플래그 두 개는 되돌렸습니다. 배포된 JDK 버전에서 experimental 취급이라 JVM이 아예 기동을 거부했습니다. 이제 튜닝 플래그를 넣을 때는 그 버전에서 실험 옵션인지부터 확인합니다.

GC 지표 전후 비교는 재지 않았습니다. 되돌린 기록과, 기동을 막은 플래그가 무엇이었는지만 남아 있습니다.

처음에는 WKT 문자열 필드를 따로 두고 엔티티를 저장할 때 동기화하는 우회를 썼습니다. 이후 PostGIS 방언과 hibernate-spatial 버전을 Hibernate ORM에 맞추는 쪽으로 되돌렸습니다. 우회 필드와 동기화 훅을 지워 엔티티가 geography 컬럼을 그대로 쓰게 했습니다.

저장과 거리 계산이 같은 DB 타입 기준으로 돌아갑니다. 방언이나 드라이버 버전이 바뀌면 같은 문제가 돌아올 수 있어 인증 저장 경로를 지나는 테스트를 남겼습니다.

위치 페이로드는 JWE로 암호화해 받습니다. JWE는 암호문 자체에 무결성 검사가 들어 있어 중간에서 값을 바꾸면 복호화 단계에서 실패합니다. 좌표가 개인정보라 경로와 로그에 평문이 남지 않는 것도 필요했습니다.

다만 복호화에 성공해도 그 토큰을 등록된 기기가 만들었는지는 알 수 없습니다. 그래서 JWE 안에 든 JWS를 사용자·기기별 등록 공개 키로 검증해 발신자를 확인합니다. 좌표 기밀성은 암호화가 맡습니다.

키는 기기마다 만들고 공개 키만 서버에 등록합니다. JWK나 PEM으로 받아 PEM으로 저장하고 헤더의 kid로 찾습니다. 허용 알고리즘은 RS256이고 사용자당 활성 키 수에 상한이 있습니다. 클레임만 담긴 구버전 토큰은 jwt.location.require-jws를 켜기 전까지만 받았습니다.

좌표를 바꾸려면 기기에 등록된 서명 키가 필요합니다. 키 회전과 폐기는 kid와 last_used_at으로 기기 단위로 처리합니다.

토큰 검증은 기기 확인까지이고, 좌표 자체는 서버에서 이동 속도와 방문 간격으로 다시 봅니다. 기기를 장악하면 서명까지 다시 할 수 있어서 복호화한 뒤에도 거리·이동 속도·방문 횟수 규칙을 따로 확인하고 걸린 요청을 거부하거나 플래그로 남깁니다.

두 인증 사이의 하버사인 거리를 세 구간으로 나눠 상한을 다르게 줬습니다. 50km 미만은 초당 50m(도로·재래선), 50~500km는 초당 100m(신칸센), 500km 이상은 초당 300m(국내선)입니다.

속도 외에도 accuracy가 0 이하인 값은 거부하고 1시간 안에 서로 다른 장소 100곳 이상이면 RAPID_TRAVERSAL 플래그를 답니다. 단말이 보고하는 모의 위치 여부도 확인하되 iOS가 빈 문자열을 보내는 경우는 없는 값으로 처리합니다. 전체 검사는 기능 플래그로 끌 수 있습니다.

구간 값은 실제 교통수단의 속도를 보고 정한 휴리스틱입니다. 수천 km를 몇 분 만에 이동하는 요청은 어느 구간에서도 상한을 넘습니다.

지금은 걸린 요청을 플래그로 남겨 나중에 임계값을 조정할 수 있게 해 둔 상태입니다.

필드 단위 변경 내역을 JSONB로 남깁니다. 되돌릴 때는 저장된 이전 값을 덮어쓰지 않습니다. 대상 리비전까지의 변경 내역을 순서대로 재생해 그 시점 상태를 다시 만듭니다. 중간에 여러 번 고친 필드도 그 시점 값으로 복원됩니다. 롤백 자체도 새 리비전으로 남깁니다.

엔티티에 MERGE 이력이 있으면 롤백을 막습니다. MERGE 리비전 자체만 막으면 그 이전 리비전으로 되돌아가 병합 전 상태처럼 보이게 만들 수 있습니다. 그래서 이력에 MERGE가 한 번이라도 있으면 전체를 차단합니다.

나중에 처리해도 되는 작업을 아웃박스 테이블에 쌓고 kind 컬럼으로 생산자를 구분해 조회 쿼리가 자기 kind만 집어 가게 했습니다.

행 하나를 처리할 때마다 REQUIRES_NEW로 트랜잭션을 새로 열어 한 건이 실패해도 같은 배치의 나머지가 함께 롤백되지 않게 했습니다. 재시도는 지수 백오프로 늘리되 상한 3,600초에서 멈추고 한도를 넘으면 DEAD로 보냅니다.

프로세스가 처리 중에 죽으면 그 행이 PROCESSING에 갇히기 때문에 ApplicationReadyEvent에서 되돌립니다. 푸시 응답이 토큰 무효면 해당 기기를 비활성화하고 데드레터가 임계값을 넘으면 이벤트를 남깁니다.

한 건이 실패할 때, 프로세스가 중단될 때, 토큰이 무효일 때의 세 경로가 각각 다른 처리로 갈라집니다. 같은 이벤트가 두 번 들어와도 되도록 소비 쪽을 멱등으로 뒀습니다. 이 동작은 단위 테스트에서 확인했습니다.

셀 값의 첫 글자가 =, +, -, @ 중 하나면 앞에 작은따옴표를 붙입니다. 앞에 공백이나 BOM을 넣어 첫 글자를 숨기는 경우가 있어 그런 문자를 건너뛴 뒤에 판정합니다. 탭·개행이 먼저 나오면 그 자체를 위험으로 봅니다. 따옴표·쉼표·개행 처리는 기존 CSV 이스케이프를 그대로 씁니다. 내보내기는 임시 파일에 스트리밍으로 씁니다.

내보낸 파일을 엑셀에서 열어도 셀 값이 수식으로 실행되지 않습니다. 검사는 첫 글자 기준이라 셀 중간에 들어간 함수 호출 문자열까지 보지는 않습니다.

완료 보고를 받으면 HeadObject로 객체가 실제로 있는지 확인한 뒤에 저장합니다. WebP 변환 출력은 상한을 둔 스트림에 쓰고 상한을 넘으면 예외를 던집니다.

보고만으로 레코드가 만들어지는 경로와 변환 중 버퍼가 무한정 늘어나는 경로를 각각 막았습니다. 상한 값 자체는 운영 부하를 보지 않고 보수적으로 잡아 둔 값입니다.

liveness와 readiness를 probe 그룹으로 옮겼습니다. probe 그룹은 Spring 자체 lifecycle만 반영하고 외부 의존성이 뒤집을 수 없습니다. 그룹 멤버를 추가하는 설정이 없고 HealthIndicator를 직접 구현한 코드도 없는 것을 확인했습니다. 전체 상태는 외부 알림용 체크로 남겨서 메일 장애가 어딘가에는 보이게 했습니다.

이 설정은 운영에서 재시작이 일어나기 전에 매니페스트를 읽다가 발견해 고쳤습니다. 로컬 부팅에서 aggregate가 DOWN으로 떨어지는 것을 재현한 뒤 probe 경로로 분리했습니다.

docker-compose와 portainer 쪽은 이미 probe 그룹을 보고 있었고 이 매니페스트만 aggregate에 남아 있었습니다.

운영 스키마는 건드리지 않고 마이그레이션 히스토리만 다시 세웠습니다. 확장, 스키마, 루틴, 기준 데이터를 파일별로 나누고 결정은 ADR로 남겼습니다.

새 환경은 V001~V005 다섯 파일로 스키마를 만들고 파일을 읽어 현재 스키마를 파악할 수 있습니다. 준비 시간이 얼마나 줄었는지는 전후를 재지 않아 적지 않습니다.

기존 위반을 한 번에 없애지 않고 목록으로 고정했습니다. Detekt는 baseline.xml, 모듈 경계는 리포지토리 import 304줄·진입점 의존성 266줄·platform 도메인 import 21줄을 기준선 파일에 박아 뒀습니다. 목록에 없는 의존성이나 위반이 들어오면 아키텍처 테스트와 Detekt가 CI에서 실패합니다.

기존 부채는 그대로 두고 더 늘어나지 않게 제한했습니다. 목록 파일의 줄 수가 곧 남은 부채의 크기입니다. 줄어들면 파일에서 빼는 방식으로 정리하고 있습니다.