❗[버그][Auth] 로그인 직후 401로 강제 로그아웃되는 버그

[EM-H20]

🗒️ 설명

• 소셜 로그인(Google/Firebase) 직후 홈 화면 진입 시 보호된 API 호출이 즉시 401을 반환하여 클라이언트가 강제 로그아웃 처리하는 현상이 발생합니다.
• /api/auth/login은 정상 200, accessToken/refreshToken 발급도 정상이지만, 발급된 토큰으로 /api/todos 등 인증 필요 엔드포인트 호출 시 401 응답이 반환되며 응답 body가 비어 있습니다.
• 클라이언트가 401을 토큰 만료로 간주해 reissue를 시도 → reissue도 200 성공 → 새 토큰으로 retry → 또 401 → 강제 로그아웃 → /login 으로 복귀합니다.
• 결과적으로 어떤 사용자도 정상 로그인 직후 홈 진입을 유지할 수 없는 차단성 버그입니다.

🔄 재현 방법

1. Flutter 앱(iOS Simulator)에서 Google 소셜 로그인 수행
2. 백엔드 로그인 응답 200 수신 후 /home 진입
3. /home 초기 진입 시 자동 호출되는 GET /api/todos가 401 반환
4. 클라이언트 AuthInterceptor가 자동 reissue → 200 → retry → 다시 401
5. 클라이언트 강제 로그아웃 실행, /login 으로 이동

🔍 원인 분석

• 실제 JWT 검증을 담당하는 컴포넌트는 Spring MVC AuthInterceptor(HandlerInterceptor)입니다.
• 그러나 SecurityConfig.filterChain이 .anyRequest().authenticated()로 인증을 요구하는 반면, SecurityFilterChain에는 SecurityContext를 채워주는 JWT 인증 필터가 등록되어 있지 않습니다.
• 따라서 모든 보호 요청이 SecurityContext가 비어 있는 상태로 .authenticated() 검사에 실패하고, HttpStatusEntryPoint(UNAUTHORIZED)가 직접 401을 반환합니다 (그래서 응답 body가 비어 있음 — ControllerAdvice 미경유).
• /api/auth/**만 AUTH_WHITELIST에 포함되어 permitAll 처리되므로, 로그인/리이슈는 통과하지만 그 외 모든 보호 엔드포인트가 차단됩니다.
• 이는 토큰 발급 문제가 아니라 토큰 검증 자체가 일어나지 않는 구조 결함입니다.

📸 참고 자료

실제 클라이언트 로그 시퀀스:

POST /api/auth/login            → 200, accessToken length=146
GET  /api/todos                 → 401 (Response Text: null)
POST /api/auth/reissue          → 200, 새 토큰 발급 성공
GET  /api/todos (retry, 새 토큰) → 401
🚨 강제 로그아웃 실행

관련 파일:

• SS-Web/src/main/java/com/elipair/spacestudyship/config/SecurityConfig.java — 인증 필터 누락 지점
• SS-Web/src/main/java/com/elipair/spacestudyship/config/WebConfig.java — AuthInterceptor 등록 위치
• SS-Auth/src/main/java/com/elipair/spacestudyship/auth/interceptor/AuthInterceptor.java — 실제 JWT 검증 로직
• SS-Auth/src/main/java/com/elipair/spacestudyship/auth/constant/SecurityUrls.java — 화이트리스트 상수

✅ 예상 동작

• 소셜 로그인 응답으로 받은 access token으로 /api/todos 등 보호 엔드포인트가 200으로 응답해야 합니다.
• 잘못되거나 누락된 토큰으로 호출 시 401 + {"code":"UNAUTHENTICATED_REQUEST","message":"로그인이 필요합니다."} 형식의 JSON body가 반환되어야 합니다.
• reissue는 access token 실제 만료 시점에만 발동하고, 정상 로그인 직후에는 발동하지 않아야 합니다.

⚙️ 환경 정보

• OS: macOS (백엔드 Darwin 25.3.0, 클라이언트 iOS Simulator)
• 백엔드: Spring Boot 4.0.2, Java 21, 멀티모듈 Gradle
• 클라이언트: Flutter (iOS Simulator, type=IOS)
• DB: PostgreSQL (Flyway 마이그레이션 v0.0.36)
• 재현 빈도: 100% (소셜 로그인 시 항상 발생)

🙋‍♂️ 담당자

• 백엔드: EM-H20
• 프론트엔드: -
• 디자인: -

[EM-H20]

Guide by SUH-LAB

브랜치

20260524_#36_로그인_직후_401로_강제_로그아웃되는_버그

커밋 메시지

로그인 직후 401로 강제 로그아웃되는 버그 : feat : {변경 사항에 대한 설명} https://github.com/SpaceStudyShip/SpaceStudyShip-BE/issues/36

[EM-H20]

로그인 직후 401로 강제 로그아웃되는 버그 수정

📌 작업 개요

소셜 로그인 직후 보호된 API 호출이 모두 401로 거부되어 클라이언트가 강제 로그아웃하는 차단성 버그 수정. SecurityFilterChain의 인증 게이트 구성과 실제 JWT 검증 컴포넌트의 위치가 어긋난 구조 결함을 해소.

이슈: #36

---

🔍 문제 분석

증상

• /api/auth/login 200 응답, accessToken/refreshToken 정상 발급
• 즉시 /api/todos 호출 → 401 + 빈 응답 body
• 클라이언트가 401을 토큰 만료로 간주하여 reissue 시도 → reissue 200 → retry → 또 401
• 결과적으로 무한 강제 로그아웃, 어떤 사용자도 정상 진입 불가

근본 원인

Spring Security filterChain이 .anyRequest().authenticated()로 모든 보호 요청에 인증을 요구하지만, SecurityFilterChain에 SecurityContext를 채워주는 JWT 인증 필터가 등록되어 있지 않음.

실제 JWT 검증은 Spring MVC AuthInterceptor(HandlerInterceptor)가 담당하지만, MVC 단계는 Spring Security 필터 체인보다 늦게 실행되므로 도달조차 못 함.

요청 → [Spring Security 게이트]  →  [Spring MVC AuthInterceptor]  →  컨트롤러
         .authenticated() 요구          실제 JWT 검증 로직
         JWT 필터 없음 → 401 차단        도달 못함

AUTH_WHITELIST에 포함된 /api/auth/**만 permitAll로 통과하므로 로그인·리이슈는 정상 동작 → 토큰 발급은 OK처럼 보였지만, 그 토큰을 쓰는 순간 게이트에서 차단되는 구조였음.

빈 body 401의 의미

HttpStatusEntryPoint(UNAUTHORIZED)가 컨트롤러 advice 미경유로 직접 401 반환 → 본문 없음. 이 핑거프린트가 "Security 필터 단계에서 차단" 임을 가리키는 결정적 단서였음.

---

✅ 구현 내용

Spring Security 게이트 단순화

• 파일: SS-Web/src/main/java/com/elipair/spacestudyship/config/SecurityConfig.java
• 변경 내용: anyRequest().authenticated() → anyRequest().permitAll(). exceptionHandling/HttpStatusEntryPoint 블록 제거. 불필요해진 import (SecurityUrls, HttpStatus, HttpStatusEntryPoint) 정리.
• 이유: Spring Security는 CSRF·CORS·세션 정책만 책임지는 통과 게이트로 두고, JWT 인증/인가는 기존 AuthInterceptor에 완전히 위임. 의도된 설계와 실제 동작을 일치시키는 최소 변경.

AuthInterceptor 로깅 보강

• 파일: SS-Auth/src/main/java/com/elipair/spacestudyship/auth/interceptor/AuthInterceptor.java
• 변경 내용: @Slf4j 추가 + 4가지 분기점 로깅
  • DEBUG [Auth] preHandle 진입 | method, uri
  • WARN [Auth] 인증 헤더 누락 | method, uri
  • WARN [Auth] 토큰 검증 실패 | code, method, uri
  • DEBUG [Auth] 인증 통과 | memberId, method, uri
• 이유: 인증 실패가 발생할 때 어느 path에서 어떤 사유로 거부됐는지 백엔드 로그만으로 추적 가능하도록. 향후 유사 이슈 진단 시간을 단축.

JwtTokenProvider 발급 추적 로깅

• 파일: SS-Auth/src/main/java/com/elipair/spacestudyship/auth/jwt/JwtTokenProvider.java
• 변경 내용: @Slf4j 추가, createAccessToken/createRefreshToken에서 INFO 로그 출력
  • [Jwt] AccessToken 발급 | memberId, expiresAt
  • [Jwt] RefreshToken 발급 | memberId, deviceId, expiresAt
• 이유: 발급 시점과 만료 시각을 로그로 남겨 토큰 라이프사이클을 추적 가능하게. 토큰 문자열은 민감 정보라 의도적으로 미출력.

dev 프로파일 로깅 레벨 조정 (로컬 전용)

• 파일: SS-Web/src/main/resources/application-dev.yml (.gitignore 대상, 로컬 전용)
• 변경 내용: logging.level.com.elipair.spacestudyship.auth: DEBUG
• 이유: 인증 디버그 로그가 dev 환경에서만 보이도록. prod 영향 없음.

이슈/리포트 산출물 ignore

• 파일: .gitignore
• 변경 내용: docs/suh-template/ 추가
• 이유: 로컬 이슈 템플릿 산출물이 향후 커밋에 포함되지 않도록 차단. (기존 트래킹된 파일은 유지)

---

🔧 주요 변경사항 상세

SecurityConfig.java

이전 구조에서는 인증을 요구하면서 인증해줄 필터가 없는 모순이 있었음. 변경 후에는 Security 단을 순수한 게이트로 두고 JWT 검증은 MVC AuthInterceptor 한 곳에 집중.

.authorizeHttpRequests(auth -> auth.anyRequest().permitAll());

유지된 항목: CSRF disable, CORS 설정, STATELESS 세션 정책, UserDetailsService 빈 직접 등록(자동 생성 차단).

특이사항:

• SecurityUrls.AUTH_WHITELIST 상수는 현재 미사용 상태로 남아있음. 향후 JwtAuthenticationFilter 도입 시 재사용 가능하므로 파일 자체는 삭제하지 않음.
• 이 변경은 단기 픽스. 장기적으로는 OncePerRequestFilter 기반 JWT 필터를 SecurityFilterChain에 정식 등록하고 AuthInterceptor와 책임을 재분리하는 방향이 더 안전.

AuthInterceptor.java

try-catch로 토큰 검증 결과를 분기 로깅. CustomException은 다시 던져서 GlobalExceptionHandler가 응답 본문을 정상 생성하도록 유지. 응답 코드(UNAUTHENTICATED_REQUEST vs INVALID_TOKEN vs ACCESS_TOKEN_EXPIRED)가 로그에 그대로 노출되어 클라이언트가 받는 응답과 일치.

JwtTokenProvider.java

토큰 발급 직후 INFO 로그 출력. memberId와 만료 시각만 기록하고 토큰 문자열은 미기록.

---

🧪 테스트 및 검증

자동화 테스트

• ./gradlew :SS-Web:compileJava 통과
• ./gradlew test (전체 모듈) 통과 — 기존 컨트롤러/서비스 테스트 회귀 없음

백엔드 직접 검증 (SPRING_PROFILES_ACTIVE=dev)

시나리오	응답	확인
토큰 없이 GET /api/todos	401 + {"code":"UNAUTHENTICATED_REQUEST","message":"로그인이 필요합니다."}	AuthInterceptor 발동, GlobalExceptionHandler 경유 정상
잘못된 토큰 GET /api/todos	401 + {"code":"INVALID_TOKEN","message":"인증 정보가 올바르지 않습니다."}	JWT 파싱이 실제로 수행됨 확인

이전: 두 경우 모두 빈 body 401 (구분 불가). 수정 후: 응답 코드로 사유 명확히 구분.

클라이언트 검증

Flutter 앱에서 Google 소셜 로그인 → /home 진입 → 강제 로그아웃 발생하지 않음 + reissue 자동 호출 없음 확인. 정상 동작 회복.

---

📌 참고사항

• 장기 개선 권장: 현재 anyRequest().permitAll()은 Spring Security 보호를 사실상 비활성화하고 JWT 검증을 AuthInterceptor 하나에 의존. WebSocket/관리 페이지/정적 리소스 등 /api/** 밖의 경로가 추가될 경우 자동 보호가 없음. JwtAuthenticationFilter extends OncePerRequestFilter 도입을 별 이슈로 분리하여 트래킹 권장.
• 클라이언트 측 별건: Flutter AuthInterceptor가 401 응답을 무조건 토큰 만료로 가정하고 reissue 시도. 응답 코드를 보고 INVALID_TOKEN → reissue, UNAUTHENTICATED_REQUEST → 즉시 로그아웃으로 분기하면 더 정확. FE 레포 별 이슈로 분리 권장.
• application-dev.yml 로깅 설정: 로컬 파일이라 다른 개발자에게는 자동 전파되지 않음. 필요 시 각자 추가하거나 팀 차원에서 application-dev.yml.example 같은 형태로 공유 검토.
• Actuator 노출: management.endpoints.web.exposure.include: health 기본 설정 유지 — /actuator/health만 노출되므로 anyRequest().permitAll() 변경의 보안 영향 없음.