@ahhaohho/auth-middleware 2.2.0 → 2.3.0

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@ahhaohho/auth-middleware",
-  "version": "2.2.0",
+  "version": "2.3.0",
   "description": "Shared authentication and authorization middleware for ahhaohho microservices",
   "main": "src/index.js",
   "scripts": {

package/src/middleware/auth.js

@@ -179,8 +179,6 @@ async function authenticateHybrid(req, res, next) {
 
     // 3. Refresh token 검증
     passport.authenticate('refresh', { session: false }, async (refreshErr, refreshUser, refreshInfo) => {
-      console.log('[@ahhaohho/auth-middleware] 🔍 Refresh callback:', { hasError: !!refreshErr, hasUser: !!refreshUser, userId: refreshUser?.userId });
-
       if (refreshErr) {
         console.error('[@ahhaohho/auth-middleware] Refresh token error:', refreshErr.message);
         return res.status(500).json({

package/src/strategies/jwt.strategy.js

@@ -4,36 +4,37 @@ const { isBlacklisted } = require('../utils/blacklist');
 const jwt = require('jsonwebtoken');
 
 /**
- * 쿠키 또는 Bearer 헤더에서 토큰을 추출하는 커스텀 함수
- * 우선순위: 1. 쿠키 (flc_auth_token) 2. Authorization 헤더
+ * Bearer 헤더 또는 쿠키에서 토큰을 추출하는 커스텀 함수
+ * 우선순위: 1. Authorization 헤더 (Bearer) 2. 쿠키 (flc_auth_token)
+ *
+ * Bearer 헤더 우선: 클라이언트가 명시적으로 설정한 토큰이 가장 신선함.
+ * 쿠키는 브라우저가 자동 전송하므로 stale 토큰이 남아있을 수 있음.
  */
 const extractJwtFromRequest = (req) => {
-  // 1. 쿠키에서 FLC 토큰 확인 (HttpOnly 쿠키 방식)
-  if (req.cookies && req.cookies.flc_auth_token) {
-    return req.cookies.flc_auth_token;
-  }
-
-  // 2. Authorization 헤더에서 토큰 확인 (기존 방식 호환)
+  // 1. Authorization 헤더에서 토큰 확인 (Bearer 방식 - 우선)
   const authHeader = req.headers.authorization || req.headers.Authorization;
 
-  if (!authHeader) {
-    return null;
-  }
+  if (authHeader) {
+    // Bearer 접두사가 있는 경우
+    if (authHeader.startsWith('Bearer ')) {
+      return authHeader.substring(7);
+    }
 
-  // Bearer 접두사가 있는 경우
-  if (authHeader.startsWith('Bearer ')) {
-    return authHeader.substring(7);
-  }
+    // bearer (소문자)인 경우
+    if (authHeader.startsWith('bearer ')) {
+      return authHeader.substring(7);
+    }
 
-  // bearer (소문자)인 경우
-  if (authHeader.startsWith('bearer ')) {
-    return authHeader.substring(7);
+    // Bearer 접두사 없이 토큰만 있는 경우
+    // JWT 형식인지 확인 (xxx.yyy.zzz 형태)
+    if (authHeader.split('.').length === 3) {
+      return authHeader;
+    }
   }
 
-  // Bearer 접두사 없이 토큰만 있는 경우
-  // JWT 형식인지 확인 (xxx.yyy.zzz 형태)
-  if (authHeader.split('.').length === 3) {
-    return authHeader;
+  // 2. 쿠키에서 FLC 토큰 확인 (HttpOnly 쿠키 방식 - 폴백)
+  if (req.cookies && req.cookies.flc_auth_token) {
+    return req.cookies.flc_auth_token;
   }
 
   return null;
@@ -77,23 +78,9 @@ function createJwtStrategy() {
                 '[@ahhaohho/auth-middleware] ⚠️ Token verified with previous key (fallback)'
               );
             } catch (previousKeyError) {
-              // 🚨 임시: invalid signature도 허용 (다음 앱 배포 전까지)
-              if (currentKeyError.message.includes('invalid signature') || currentKeyError.message.includes('jwt malformed')) {
-                console.warn('[@ahhaohho/auth-middleware] ⚠️ [TEMPORARY] Allowing invalid signature');
-                request._jwtDecoded = { userId: 'unknown', userRole: 'guest' };
-                request._jwtKeyUsed = 'bypassed';
-                return done(null, keys.current);
-              }
               return done(currentKeyError, false);
             }
           } else {
-            // 🚨 임시: invalid signature도 허용 (다음 앱 배포 전까지)
-            if (currentKeyError.message.includes('invalid signature') || currentKeyError.message.includes('jwt malformed')) {
-              console.warn('[@ahhaohho/auth-middleware] ⚠️ [TEMPORARY] Allowing invalid signature');
-              request._jwtDecoded = { userId: 'unknown', userRole: 'guest' };
-              request._jwtKeyUsed = 'bypassed';
-              return done(null, keys.current);
-            }
             return done(currentKeyError, false);
           }
         }

package/src/strategies/refresh.strategy.js

@@ -3,19 +3,12 @@ const { verifyTokenWithFallback } = require('../utils/jwtValidator');
 const { isBlacklisted } = require('../utils/blacklist');
 
 /**
- * 쿠키 또는 헤더에서 Refresh Token 추출
- * 우선순위: 1. 쿠키 (flc_refresh_token) 2. refresh-token 헤더
+ * 헤더 또는 쿠키에서 Refresh Token 추출
+ * 우선순위: 1. refresh-token 헤더 2. 쿠키 (flc_refresh_token)
  * Bearer 접두사가 있든 없든 처리
  */
 function extractRefreshToken(req) {
-  // 1. 쿠키에서 FLC 리프레시 토큰 확인 (HttpOnly 쿠키 방식)
-  if (req && req.cookies && req.cookies.flc_refresh_token) {
-    return req.cookies.flc_refresh_token;
-  }
-
-  // 2. 헤더에서 리프레시 토큰 확인 (기존 방식 호환)
-  let token = null;
-
+  // 1. 헤더에서 리프레시 토큰 확인 (우선)
   if (req && req.headers) {
     let refreshToken = req.headers['refresh-token'] || req.headers['refreshtoken'];
 
@@ -27,11 +20,16 @@ function extractRefreshToken(req) {
         refreshToken = refreshToken.substring(7);
       }
 
-      token = refreshToken.trim();
+      return refreshToken.trim();
     }
   }
 
-  return token;
+  // 2. 쿠키에서 FLC 리프레시 토큰 확인 (폴백)
+  if (req && req.cookies && req.cookies.flc_refresh_token) {
+    return req.cookies.flc_refresh_token;
+  }
+
+  return null;
 }
 
 /**

package/src/utils/secretManager.js

@@ -46,7 +46,7 @@ class SecretManager {
         return JSON.parse(cachedKeys);
       }
 
-      // 2. AWS Secrets Manager에서 가져오기
+      // 2. AWS Secrets Manager에서 가져오기 (AWSCURRENT + AWSPREVIOUS)
       console.log('[@ahhaohho/auth-middleware] Fetching JWT keys from AWS Secrets Manager');
       const command = new GetSecretValueCommand({ SecretId: this.secretName });
       const response = await this.client.send(command);
@@ -56,9 +56,36 @@ class SecretManager {
       }
 
       const secret = JSON.parse(response.SecretString);
+      const currentKey = secret.current || secret.jwt_secret_key || secret.dev;
+
+      // previous 키 결정: secret 내 previous 필드 → AWSPREVIOUS 버전 순서
+      let previousKey = secret.previous || null;
+
+      if (!previousKey) {
+        try {
+          const prevCommand = new GetSecretValueCommand({
+            SecretId: this.secretName,
+            VersionStage: 'AWSPREVIOUS'
+          });
+          const prevResponse = await this.client.send(prevCommand);
+          if (prevResponse.SecretString) {
+            const prevSecret = JSON.parse(prevResponse.SecretString);
+            const prevCandidate = prevSecret.current || prevSecret.jwt_secret_key || prevSecret.dev;
+            // 이전 키가 현재 키와 다를 때만 사용
+            if (prevCandidate && prevCandidate !== currentKey) {
+              previousKey = prevCandidate;
+              console.log('[@ahhaohho/auth-middleware] Using AWSPREVIOUS version as fallback key');
+            }
+          }
+        } catch (prevError) {
+          // AWSPREVIOUS가 없을 수 있음 (첫 시크릿이거나 로테이션 미사용)
+          console.log('[@ahhaohho/auth-middleware] No AWSPREVIOUS version available');
+        }
+      }
+
       const keys = {
-        current: secret.current || secret.jwt_secret_key || secret.dev,
-        previous: secret.previous || null
+        current: currentKey,
+        previous: previousKey
       };
 
       // 3. Redis에 캐싱 (5분 TTL)