@gaonjs/cli 0.41.5 → 0.41.6

package/dist/templates/auth/registration.controller.ts.tpl

@@ -12,9 +12,14 @@ export default controller({
     const { name, email, password } = this.params({
       _row: {} as { name: string; email: string; password: string },
     })
+    // 이메일 중복은 스키마 .unique() 가 강제하지만(무결성 backstop), 사용자에겐
+    // 친절한 에러를 준다 — 조용한 중복 성공 대신 Signup 을 다시 렌더한다.
+    if (await User.where('email', '=', email).first()) {
+      return this.render('Auth/Signup', { error: '이미 사용 중인 이메일입니다.' })
+    }
     const passwordDigest = await hashPassword(password)
     const user = await User.create({ name, email, passwordDigest })
-    this.auth.login(user)
+    await this.auth.login(user)
     return this.redirect('{{URL_PREFIX}}/dashboard')
   },
 })

package/dist/templates/auth/session.controller.ts.tpl

@@ -13,7 +13,7 @@ export default controller({
     const user = await User.where('email', '=', email).first()
     // passwordDigest 는 hidden 이지만 서버 코드에서는 투명하게 읽힌다(§4.2).
     if (user && (await verifyPassword(password, user.passwordDigest))) {
-      this.auth.login(user)
+      await this.auth.login(user)
       return this.redirect('{{URL_PREFIX}}/dashboard')
     }
     return this.render('Auth/Login', {
@@ -22,7 +22,7 @@ export default controller({
   },
   // DELETE {{URL_PREFIX}}/session — 로그아웃
   async destroy() {
-    this.auth.logout()
+    await this.auth.logout()
     return this.redirect('{{URL_PREFIX}}/session/new')
   },
 })

package/dist/templates/auth/session.secure.controller.ts.tpl

@@ -35,12 +35,12 @@ export default controller({
         error: '이 앱에 접근할 권한이 없습니다.' as string | null,
       })
     }
-    this.auth.login(user)
+    await this.auth.login(user)
     return this.redirect('{{URL_PREFIX}}/dashboard')
   },
   // DELETE {{URL_PREFIX}}/session — 로그아웃
   async destroy() {
-    this.auth.logout()
+    await this.auth.logout()
     return this.redirect('{{URL_PREFIX}}/session/new')
   },
 })

package/dist/templates/auth/user.schema.ts.tpl

@@ -5,7 +5,7 @@ import { table, t } from 'gaonjs/data'
 export const users = table('users', {
   id: t.id(),
   name: t.string().max(100),
-  email: t.string().max(255),
+  email: t.string().max(255).unique(), // 유니크 — 중복 가입 방지(로그인 .first() 결정성 보장)
   passwordDigest: t.string().hidden(), // hidden — 페이지로 새지 않는다(§4.2)
   ...t.timestamps(),
 })

package/dist/templates/project/agents/data.md.tpl

@@ -142,7 +142,10 @@ import 하면 순환 참조가 생기므로, 실제 연결은 부팅 시 프레
   **관계(`include`/지연) 로 로드한 대상 행에서도** 대상 테이블의 hidden 이
   제외된다(결정 122). 즉 `Post.include('author')` 로 실은 `author`(User)를
   render props 로 통째로 넘겨도 `passwordDigest` 는 나가지 않는다. hidden 값은
-  서버 코드에서는 그대로 읽힌다(직렬화에서만 제외 · §4.2).
+  서버 코드에서는 그대로 읽힌다(직렬화에서만 제외 · §4.2). hidden 마커는 **열거
+  가능한 심볼**이라 `{ ...user }` spread·`Object.assign` 을 넘어 보존된다(결정 253)
+  — 단 레코드를 손으로 재구성하거나 JSON 왕복하면 마커가 사라지니 그럴 땐 hidden
+  컬럼을 직접 넣지 않는다.
 - `.unique()` — 컬럼 레벨 UNIQUE 제약 (E-4).
 - `.index()` — 컬럼 레벨 인덱스 (E-4).
 - `.check(expr)` — 컬럼 레벨 CHECK 제약 (E-4).

package/dist/templates/project/agents/security.md.tpl

@@ -51,6 +51,15 @@
   자동으로 붙이고, 세션 secret 을 **앱별 env** `<APP>_SESSION_SECRET`(예:
   `ADMIN_SESSION_SECRET`)로 분리 배선한다(결정 141 · 앱별 세션 완전 분리).
   운영 배포 시 그 env 를 web 과 **다르게** 설정할 것.
+- **운영 세션 secret 은 반드시 주입한다 (결정 255)**: app.config 는 dev 편의를 위해
+  `process.env.SESSION_SECRET ?? 'dev-only-session-secret-…'` 폴백을 각인한다. 운영
+  (`NODE_ENV=production`)에서 이 폴백/플레이스홀더가 세션 서명 secret 으로 쓰이면
+  **모든 배포가 같은 공개 secret 으로 세션을 서명**(위조 가능)하므로 부팅이 확정
+  종료된다(DB·PORT fail-loud 와 대칭). `compose.prod.yaml` 은 `SESSION_SECRET:?` 로
+  주입을 강제한다 — `openssl rand -base64 32` 로 만든 값을 env 로 넣는다.
+- **로그인은 세션 ID 를 재생성하고 로그아웃은 세션을 파기한다 (결정 254)**:
+  `this.auth.login`/`logout` 이 자동 처리한다(session fixation 방어). 스캐폴드는
+  `await this.auth.login(user)` 형태다 — 손으로 세션을 조작하지 않는다.
 - **비-web 앱은 시큐어 기본이다** (결정 155): `gaon g auth --app admin` 은
   **공개 회원가입(registration)을 깔지 않는다** — 관리 앱에 공개 가입이 열리고
   로그인한 일반 고객이 관리 화면을 보던 위험 기본을 구조적으로 막는다. 대신 보호

package/dist/templates/project/agents/web.md.tpl

@@ -45,6 +45,11 @@ export default controller({
   반환해도 안전하다(손 직렬화 불필요). 드물게 응답 경계 **밖**(예: 채널 broadcast
   페이로드, 커스텀 문자열 응답)에서 같은 규칙으로 직렬화하고 싶으면 직접 부른다:
   `import { serializeProps } from 'gaonjs/web'`.
+  - **hidden 은 spread 를 넘어 보존된다(결정 253)** — `render(page, { ...user })` 나
+    `{ user: { ...row } }` 처럼 모델 레코드를 펼쳐도 hidden 마커가 함께 복제돼
+    `passwordDigest` 는 여전히 제외된다. 단, 레코드를 **손으로 재구성**하거나
+    (`{ id: u.id, email: u.email }`) `JSON.parse(JSON.stringify(u))` 로 왕복하면
+    마커가 사라진다 — 그 경우 hidden 컬럼을 직접 넣지 말고 필요한 필드만 골라 넘긴다.
 - **`this.render` 인자** = `<PageFolder>/<Page>` (PascalCase 폴더 · Vue
   파일명과 정합) — 예: `'Posts/Index'` → `apps/<app>/pages/Posts/Index.vue`.
 - **리소스 부재 = `this.notFound()`** — 조회 결과가 없으면 404 를 손으로 만들지
@@ -429,8 +434,11 @@ const ok = await verifyPassword(plain, user.passwordDigest) // Promise<boolean>
   | 호출 | 하는 일 |
   |---|---|
   | `this.auth.user` | 현재 사용자 (`GaonCurrentUser \| null`) |
-  | `this.auth.login(user)` | 세션에 사용자 id 를 심어 로그인 상태로 만든다 |
-  | `this.auth.logout()` | 세션에서 사용자를 지운다 |
+  | `await this.auth.login(user)` | 세션 ID 를 **재생성**하고 사용자 id 를 심어 로그인 상태로 만든다(fixation 방어 · 결정 254) |
+  | `await this.auth.logout()` | 세션을 **파기**한다(잔존 세션 재사용 차단 · 결정 254) |
+
+  `login`/`logout` 은 세션 ID 재생성·파기(비동기)를 하므로 `await` 를 붙인다. 생략해도
+  디스패처가 응답 직전에 정착시켜 동작하지만(기존 코드 호환), 정본은 `await` 다.
 
   ```ts
   // 로그인 — 폼 액션의 유일한 render+redirect 혼용 예외(결정 57 보완)
@@ -441,12 +449,12 @@ const ok = await verifyPassword(plain, user.passwordDigest) // Promise<boolean>
       // csrf 는 자동 주입 공유 prop 이므로 컨트롤러가 넘기지 않는다(결정 116·117)
       return this.render('Auth/Login', { error: '이메일 또는 비밀번호가 올바르지 않습니다.' })
     }
-    this.auth.login(user)                       // 세션 확정
+    await this.auth.login(user)                 // 세션 ID 재생성 + 로그인 확정(결정 254)
     return this.redirect('/dashboard')
   }
   // 로그아웃 — DELETE /session (페이지에서 router.delete 로 호출 · 결정 64)
   async destroy() {
-    this.auth.logout()
+    await this.auth.logout()                    // 세션 파기(결정 254)
     return this.redirect('/session/new')
   }
   ```

package/dist/templates/project/compose.prod.yaml.tpl

@@ -19,6 +19,10 @@ x-app-env: &app-env
   REDIS_URL: redis://redis:6379
   NATS_URL: nats://nats:4222
   COOKIE_SECRET: ${COOKIE_SECRET:?set COOKIE_SECRET (32+ chars)}
+  # 세션 서명 secret — 운영에서 반드시 주입한다(미주입 시 스캐폴드의 dev 폴백
+  # secret 으로 세션을 서명하게 되어 위조 가능). app.config 의 session.secret 이
+  # 이 값을 읽는다. 앱별 세션(gaon g auth)은 <APP>_SESSION_SECRET 을 추가로 주입.
+  SESSION_SECRET: ${SESSION_SECRET:?set SESSION_SECRET (32+ chars)}
   NODE_ENV: production
 
 services:

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@gaonjs/cli",
-  "version": "0.41.5",
+  "version": "0.41.6",
   "description": "Gaon CLI — 스캐폴딩·제너레이터·마이그레이션·dev/serve/work/hub·doctor·check (bin: gaon)",
   "type": "module",
   "license": "MIT",
@@ -27,13 +27,13 @@
     "@modelcontextprotocol/sdk": "^1.29.0",
     "typescript": "^5.9.0",
     "vite": "^7.0.0",
-    "@gaonjs/async": "0.15.0",
-    "@gaonjs/core": "0.2.3",
-    "@gaonjs/config": "0.17.4",
-    "@gaonjs/data": "0.17.0",
-    "@gaonjs/web": "0.19.4",
-    "@gaonjs/i18n": "0.2.2",
-    "@gaonjs/mail": "0.3.0"
+    "@gaonjs/async": "0.15.1",
+    "@gaonjs/config": "0.17.5",
+    "@gaonjs/core": "0.2.4",
+    "@gaonjs/i18n": "0.2.3",
+    "@gaonjs/data": "0.17.1",
+    "@gaonjs/mail": "0.3.1",
+    "@gaonjs/web": "0.20.0"
   },
   "scripts": {
     "build": "node ../../node_modules/typescript/bin/tsc -p tsconfig.json && node -e \"require('fs').cpSync('src/templates','dist/templates',{recursive:true})\""