@ahhaohho/auth-middleware 2.1.1 → 2.2.1

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@ahhaohho/auth-middleware",
-  "version": "2.1.1",
+  "version": "2.2.1",
   "description": "Shared authentication and authorization middleware for ahhaohho microservices",
   "main": "src/index.js",
   "scripts": {
@@ -39,7 +39,8 @@
     "passport-jwt": "^4.0.1"
   },
   "peerDependencies": {
-    "express": "^4.x"
+    "express": "^4.x",
+    "mongoose": "^8.x"
   },
   "engines": {
     "node": ">=16.0.0"

package/src/index.js

@@ -24,6 +24,9 @@ const {
   fetchRolePermissions
 } = require('./middleware/authorization');
 
+// userId 추출 유틸리티
+const { extractUserId } = require('./utils/extractUserId');
+
 // 유틸리티
 const { verifyTokenWithFallback, signToken, getCurrentSigningKey } = require('./utils/jwtValidator');
 const { isBlacklisted, addToBlacklist, clearBlacklist } = require('./utils/blacklist');
@@ -61,6 +64,9 @@ module.exports = {
   requireOwnership,      // 리소스 소유자 검증: requireOwnership('userId')
   requireAny,            // 복합 조건 인가: requireAny({ roles: [...], permissions: [...] })
 
+  // ===== userId 추출 =====
+  extractUserId,         // userId 추출: await extractUserId(req, isRequired)
+
   // ===== 유틸리티 함수 =====
   utils: {
     // JWT 관련

package/src/middleware/auth.js

@@ -179,8 +179,6 @@ async function authenticateHybrid(req, res, next) {
 
     // 3. Refresh token 검증
     passport.authenticate('refresh', { session: false }, async (refreshErr, refreshUser, refreshInfo) => {
-      console.log('[@ahhaohho/auth-middleware] 🔍 Refresh callback:', { hasError: !!refreshErr, hasUser: !!refreshUser, userId: refreshUser?.userId });
-
       if (refreshErr) {
         console.error('[@ahhaohho/auth-middleware] Refresh token error:', refreshErr.message);
         return res.status(500).json({

package/src/strategies/jwt.strategy.js

@@ -4,36 +4,37 @@ const { isBlacklisted } = require('../utils/blacklist');
 const jwt = require('jsonwebtoken');
 
 /**
- * 쿠키 또는 Bearer 헤더에서 토큰을 추출하는 커스텀 함수
- * 우선순위: 1. 쿠키 (flc_auth_token) 2. Authorization 헤더
+ * Bearer 헤더 또는 쿠키에서 토큰을 추출하는 커스텀 함수
+ * 우선순위: 1. Authorization 헤더 (Bearer) 2. 쿠키 (flc_auth_token)
+ *
+ * Bearer 헤더 우선: 클라이언트가 명시적으로 설정한 토큰이 가장 신선함.
+ * 쿠키는 브라우저가 자동 전송하므로 stale 토큰이 남아있을 수 있음.
  */
 const extractJwtFromRequest = (req) => {
-  // 1. 쿠키에서 FLC 토큰 확인 (HttpOnly 쿠키 방식)
-  if (req.cookies && req.cookies.flc_auth_token) {
-    return req.cookies.flc_auth_token;
-  }
-
-  // 2. Authorization 헤더에서 토큰 확인 (기존 방식 호환)
+  // 1. Authorization 헤더에서 토큰 확인 (Bearer 방식 - 우선)
   const authHeader = req.headers.authorization || req.headers.Authorization;
 
-  if (!authHeader) {
-    return null;
-  }
+  if (authHeader) {
+    // Bearer 접두사가 있는 경우
+    if (authHeader.startsWith('Bearer ')) {
+      return authHeader.substring(7);
+    }
 
-  // Bearer 접두사가 있는 경우
-  if (authHeader.startsWith('Bearer ')) {
-    return authHeader.substring(7);
-  }
+    // bearer (소문자)인 경우
+    if (authHeader.startsWith('bearer ')) {
+      return authHeader.substring(7);
+    }
 
-  // bearer (소문자)인 경우
-  if (authHeader.startsWith('bearer ')) {
-    return authHeader.substring(7);
+    // Bearer 접두사 없이 토큰만 있는 경우
+    // JWT 형식인지 확인 (xxx.yyy.zzz 형태)
+    if (authHeader.split('.').length === 3) {
+      return authHeader;
+    }
   }
 
-  // Bearer 접두사 없이 토큰만 있는 경우
-  // JWT 형식인지 확인 (xxx.yyy.zzz 형태)
-  if (authHeader.split('.').length === 3) {
-    return authHeader;
+  // 2. 쿠키에서 FLC 토큰 확인 (HttpOnly 쿠키 방식 - 폴백)
+  if (req.cookies && req.cookies.flc_auth_token) {
+    return req.cookies.flc_auth_token;
   }
 
   return null;
@@ -77,23 +78,9 @@ function createJwtStrategy() {
                 '[@ahhaohho/auth-middleware] ⚠️ Token verified with previous key (fallback)'
               );
             } catch (previousKeyError) {
-              // 🚨 임시: invalid signature도 허용 (다음 앱 배포 전까지)
-              if (currentKeyError.message.includes('invalid signature') || currentKeyError.message.includes('jwt malformed')) {
-                console.warn('[@ahhaohho/auth-middleware] ⚠️ [TEMPORARY] Allowing invalid signature');
-                request._jwtDecoded = { userId: 'unknown', userRole: 'guest' };
-                request._jwtKeyUsed = 'bypassed';
-                return done(null, keys.current);
-              }
               return done(currentKeyError, false);
             }
           } else {
-            // 🚨 임시: invalid signature도 허용 (다음 앱 배포 전까지)
-            if (currentKeyError.message.includes('invalid signature') || currentKeyError.message.includes('jwt malformed')) {
-              console.warn('[@ahhaohho/auth-middleware] ⚠️ [TEMPORARY] Allowing invalid signature');
-              request._jwtDecoded = { userId: 'unknown', userRole: 'guest' };
-              request._jwtKeyUsed = 'bypassed';
-              return done(null, keys.current);
-            }
             return done(currentKeyError, false);
           }
         }

package/src/strategies/refresh.strategy.js

@@ -3,19 +3,12 @@ const { verifyTokenWithFallback } = require('../utils/jwtValidator');
 const { isBlacklisted } = require('../utils/blacklist');
 
 /**
- * 쿠키 또는 헤더에서 Refresh Token 추출
- * 우선순위: 1. 쿠키 (flc_refresh_token) 2. refresh-token 헤더
+ * 헤더 또는 쿠키에서 Refresh Token 추출
+ * 우선순위: 1. refresh-token 헤더 2. 쿠키 (flc_refresh_token)
  * Bearer 접두사가 있든 없든 처리
  */
 function extractRefreshToken(req) {
-  // 1. 쿠키에서 FLC 리프레시 토큰 확인 (HttpOnly 쿠키 방식)
-  if (req && req.cookies && req.cookies.flc_refresh_token) {
-    return req.cookies.flc_refresh_token;
-  }
-
-  // 2. 헤더에서 리프레시 토큰 확인 (기존 방식 호환)
-  let token = null;
-
+  // 1. 헤더에서 리프레시 토큰 확인 (우선)
   if (req && req.headers) {
     let refreshToken = req.headers['refresh-token'] || req.headers['refreshtoken'];
 
@@ -27,11 +20,16 @@ function extractRefreshToken(req) {
         refreshToken = refreshToken.substring(7);
       }
 
-      token = refreshToken.trim();
+      return refreshToken.trim();
     }
   }
 
-  return token;
+  // 2. 쿠키에서 FLC 리프레시 토큰 확인 (폴백)
+  if (req && req.cookies && req.cookies.flc_refresh_token) {
+    return req.cookies.flc_refresh_token;
+  }
+
+  return null;
 }
 
 /**

package/src/utils/extractUserId.js

@@ -0,0 +1,91 @@
+const mongoose = require('mongoose');
+
+/**
+ * Request 객체에서 userId를 추출하는 유틸리티 함수
+ *
+ * 우선순위:
+ * 1. req.user.userId (JWT 인증 미들웨어에서 설정)
+ * 2. req.userId (이미 설정된 경우)
+ * 3. req.headers['user-id'] (NODE_ENV !== 'production'일 때만)
+ * 4. req.query.userId (NODE_ENV !== 'production'일 때만)
+ *
+ * @param {Object} req - Express request 객체 또는 req-like 객체
+ * @param {boolean} [isRequired=false] - true면 userId 없을 시 에러 throw
+ * @returns {Promise<mongoose.Types.ObjectId|null>} userId (ObjectId) 또는 null
+ * @throws {Error} isRequired=true이고 userId가 없거나 유효하지 않은 경우
+ */
+async function extractUserId(req, isRequired = false) {
+  const isDebug = process.env.NODE_ENV !== 'production';
+
+  let userId = null;
+
+  // 1. JWT 인증 미들웨어에서 설정한 req.user.userId (최우선)
+  if (req.user && req.user.userId) {
+    userId = req.user.userId;
+  }
+  // 2. 이미 설정된 req.userId
+  else if (req.userId) {
+    userId = req.userId;
+  }
+  // 3. 디버그 모드에서만: 헤더
+  else if (isDebug && req.headers && req.headers['user-id']) {
+    userId = req.headers['user-id'];
+  }
+  // 4. 디버그 모드에서만: 쿼리 파라미터
+  else if (isDebug && req.query && req.query.userId) {
+    userId = req.query.userId;
+  }
+
+  // userId가 필수가 아니고 없는 경우
+  if (!isRequired && !userId) {
+    return null;
+  }
+
+  // userId가 필수이고 없는 경우
+  if (isRequired && (!userId || (typeof userId === 'string' && userId.trim() === ''))) {
+    const error = new Error('유효하지 않은 요청: userId가 없거나 유효하지 않습니다.');
+    error.name = 'ValidationError';
+    error.statusCode = 400;
+    throw error;
+  }
+
+  // userId가 있는 경우 형식 검증 및 ObjectId 변환
+  if (userId) {
+    // 이미 ObjectId인 경우 그대로 반환
+    if (typeof userId !== 'string') {
+      if (mongoose.Types.ObjectId.isValid(userId)) {
+        return userId;
+      }
+      const error = new Error('유효하지 않은 userId 형식입니다.');
+      error.name = 'ValidationError';
+      error.statusCode = 400;
+      throw error;
+    }
+
+    if (userId.trim() === '') {
+      if (isRequired) {
+        const error = new Error('유효하지 않은 userId 형식입니다.');
+        error.name = 'ValidationError';
+        error.statusCode = 400;
+        throw error;
+      }
+      return null;
+    }
+
+    if (mongoose.Types.ObjectId.isValid(userId)) {
+      return new mongoose.Types.ObjectId(userId);
+    }
+
+    if (isRequired) {
+      const error = new Error('유효하지 않은 userId 형식입니다.');
+      error.name = 'ValidationError';
+      error.statusCode = 400;
+      throw error;
+    }
+    return null;
+  }
+
+  return null;
+}
+
+module.exports = { extractUserId };