fix: handle short JWT secret keys gracefully

[kangminhyuk1111]

Summary

• Add default JWT secret for development environment
• Pad short secrets to meet minimum 256-bit requirement
• Prevents WeakKeyException when JWT_SECRET env var is too short

Problem

서버에서 JWT_SECRET 환경변수가 너무 짧아 (104 bits < 256 bits) WeakKeyException이 발생하여 백엔드가 시작되지 않았습니다.

Solution

JwtProperties에서 짧은 secret을 자동으로 패딩하여 최소 256-bit 요구사항을 충족하도록 수정했습니다.

Test plan

• 기존 테스트 통과 확인
• 서버 배포 후 백엔드 정상 시작 확인

🤖 Generated with Claude Code

Summary by CodeRabbit

릴리스 노트

• 버그 수정
  • JWT 보안 토큰의 기본값 설정 로직을 추가했습니다. 보안 토큰이 누락되거나 비어있을 경우 자동으로 기본값이 설정되며, 최소 길이 요구사항(32자)을 만족하도록 자동으로 조정됩니다.

_{✏️ Tip: You can customize this high-level summary in your review settings.}

[coderabbitai]

📝 Walkthrough

Walkthrough

JwtProperties에 JWT 암호 유효성 검사 로직을 추가합니다. 암호가 null이거나 공백이면 기본값으로 설정되고, 길이가 32자 미만이면 32자가 될 때까지 반복하여 채운 후 정확히 32자로 잘립니다. 이는 레코드의 컴팩트 생성자에서 실행되며, 공개 메서드 시그니처는 변경되지 않습니다.

Changes

응집력 / 파일	변경 요약
JWT 암호 기본값 및 패딩 로직 backend/src/main/java/com/hoops/common/security/JwtProperties.java	컴팩트 생성자에서 암호 기본값 설정 및 길이 검증 로직 추가. null/공백 체크 시 DEFAULT_SECRET으로 설정, 32자 미만 시 패딩 처리 후 32자로 절단. padSecret() 헬퍼 메서드 추가

예상 코드 리뷰 노력

🎯 2 (단순) | ⏱️ ~8분

Poem

🐰✨ 암호는 이제 든든하게,
기본값과 패딩으로 무장한,
32글자의 마법이 펼쳐지고,
JWT는 안전한 보금자리를 얻었네,
호프스의 보안이 한층 강해졌어! 🔐

🚥 Pre-merge checks | ✅ 2 | ❌ 1

❌ Failed checks (1 warning)

Check name	Status	Explanation	Resolution
Docstring Coverage	⚠️ Warning	Docstring coverage is 0.00% which is insufficient. The required threshold is 80.00%.	Write docstrings for the functions missing them to satisfy the coverage threshold.

✅ Passed checks (2 passed)

Check name	Status	Explanation
Description Check	✅ Passed	Check skipped - CodeRabbit’s high-level summary is enabled.
Title check	✅ Passed	제목은 PR의 주요 변경 사항인 짧은 JWT 시크릿 키를 우아하게 처리하는 것을 정확하게 요약하고 있습니다.

_{✏️ Tip: You can configure your own custom pre-merge checks in the settings.}

✨ Finishing touches

• 📝 Generate docstrings

---

Thanks for using CodeRabbit! It's free for OSS, and your support helps us grow. If you like it, consider giving us a shout-out.

❤️ Share

• X
• Mastodon
• Reddit
• LinkedIn

_{Comment @coderabbitai help to get the list of available commands and usage tips.}

[coderabbitai]

Actionable comments posted: 2

🤖 Fix all issues with AI agents

In `@backend/src/main/java/com/hoops/common/security/JwtProperties.java`:
- Around line 16-17: JwtProperties currently contains a hardcoded DEFAULT_SECRET
which allows token forgery if used in production; remove or stop using the
DEFAULT_SECRET constant in production by requiring the secret to come from
configuration/environment and validate it in JwtProperties (e.g., in the
constructor or a validate method) against MIN_SECRET_LENGTH; ensure
JwtProperties throws an exception or fails app startup when jwt.secret is
missing or too short in non‑dev profiles, and move any development-only default
secret into dev/test configuration files or profile-specific properties rather
than keeping DEFAULT_SECRET in code.
- Around line 25-27: The current padding of short JWT secrets in JwtProperties
(when secret.length() < MIN_SECRET_LENGTH) weakens security in non-dev
environments; update the logic in JwtProperties to only allow padSecret(secret)
when running under dev/test profiles (e.g., check the active profile or an
isDevProfile flag), and in all other profiles throw a new custom exception
(create something like InvalidJwtConfigurationException) instead of
RuntimeException; keep references to the MIN_SECRET_LENGTH constant, the
padSecret(String) helper, and the secret variable so reviewers can locate and
change the secret-handling branch accordingly.

🧹 Nitpick comments (1)

backend/src/main/java/com/hoops/common/security/JwtProperties.java (1)

39-45: padSecret 반환 길이 계산 단순화

이 메서드는 shortSecret.length() < MIN_SECRET_LENGTH 조건에서만 호출되므로 Math.max(...)는 항상 MIN_SECRET_LENGTH입니다. 가독성을 위해 단순화해도 됩니다.

♻️ 제안 변경안

-        return padded.substring(0, Math.max(MIN_SECRET_LENGTH, shortSecret.length()));
+        return padded.substring(0, MIN_SECRET_LENGTH);

[coderabbitai]

⚠️ Potential issue | 🔴 Critical

DEFAULT_SECRET 하드코딩은 프로덕션에서 즉시 토큰 위조 위험

jwt.secret 미설정 시 이 값이 그대로 사용되면, 알려진 고정 키로 토큰이 서명되어 위조가 가능합니다. 기본 값은 코드에 두기보다 dev/test 프로파일 전용 설정 파일로 옮기거나, 비‑dev 환경에서는 반드시 실패하도록 강제하는 방식을 권장합니다.

🤖 Prompt for AI Agents

In `@backend/src/main/java/com/hoops/common/security/JwtProperties.java` around
lines 16 - 17, JwtProperties currently contains a hardcoded DEFAULT_SECRET which
allows token forgery if used in production; remove or stop using the
DEFAULT_SECRET constant in production by requiring the secret to come from
configuration/environment and validate it in JwtProperties (e.g., in the
constructor or a validate method) against MIN_SECRET_LENGTH; ensure
JwtProperties throws an exception or fails app startup when jwt.secret is
missing or too short in non‑dev profiles, and move any development-only default
secret into dev/test configuration files or profile-specific properties rather
than keeping DEFAULT_SECRET in code.

[coderabbitai]

⚠️ Potential issue | 🟠 Major

짧은 키 패딩은 운영 환경에서 허용하면 보안 약화

짧은 키를 반복 패딩해도 엔트로피가 늘지 않아 약한 키가 통과됩니다. 비‑dev 환경에서는 실패하도록 하고, dev/test에서만 보완 로직을 허용하는 쪽이 안전합니다. 아래처럼 프로파일 기반 가드와 커스텀 예외를 고려해 주세요.

🔧 제안 변경안

-        } else if (secret.length() < MIN_SECRET_LENGTH) {
-            secret = padSecret(secret);
-        }
+        } else if (secret.length() < MIN_SECRET_LENGTH) {
+            if (isDevProfile()) {
+                secret = padSecret(secret);
+            } else {
+                throw new JwtSecretConfigurationException(
+                        "jwt.secret must be at least 32 characters in non-dev profiles"
+                );
+            }
+        }

+    private static boolean isDevProfile() {
+        String profiles = System.getProperty(
+                "spring.profiles.active",
+                System.getenv("SPRING_PROFILES_ACTIVE")
+        );
+        return profiles != null && profiles.contains("dev");
+    }

코딩 가이드라인에 따라, RuntimeException 대신 커스텀 예외를 사용해 주세요.

🤖 Prompt for AI Agents

In `@backend/src/main/java/com/hoops/common/security/JwtProperties.java` around
lines 25 - 27, The current padding of short JWT secrets in JwtProperties (when
secret.length() < MIN_SECRET_LENGTH) weakens security in non-dev environments;
update the logic in JwtProperties to only allow padSecret(secret) when running
under dev/test profiles (e.g., check the active profile or an isDevProfile
flag), and in all other profiles throw a new custom exception (create something
like InvalidJwtConfigurationException) instead of RuntimeException; keep
references to the MIN_SECRET_LENGTH constant, the padSecret(String) helper, and
the secret variable so reviewers can locate and change the secret-handling
branch accordingly.