chore: 운영 환경 설정 분리

[chxghee]

📎 Issue 번호

✨ 작업 내용

1. 보안을 위한 Cookie 설정 변경

• Domain 설정 추가 (.sejong-zupzup.kr)

  • 서브 도메인(api)과 메인 도메인(www) 간의 로그인 쿠키 공유를 위해, 상위 도메인을 기준으로 쿠키가 발급되도록 수정했습니다..

• SameSite 설정 변경 (None -> Lax)

  • CSRF 보안 취약점 개선: 기존 SameSite=None 설정은 제3의 악성 사이트(해커 사이트)에서 우리 서버로 요청을 보낼 때도 인증 쿠키가 함께 전송되는 위험이 있었습니다.
  • Lax 적용: 이를 Lax로 변경하여, 타 사이트에서 발생하는 POST 요청(상태 변경 시도)에는 쿠키가 전송되지 않도록 차단하고, 프론트/백엔드 간 통신(Same-Site)에서만 쿠키를 허용하여 보안을 강화해 보았습니다.

2. 환경별(Profile) CORS 정책 분리 적용

• 운영(Prod) 환경: 실제 배포된 프론트엔드 도메인(https://sejong-zupzup.kr 등)만 허용하여 보안을 강화했습니다.
• 개발(Dev/Local) 환경: 프론트엔드 로컬 개발을 지원하기 위해 localhost 대역(4173, 5173 등)을 허용하도록 분리했습니다. (아직 데브 서버는 따로 띄우지 않았습니다.)
• 설정 파일(yml)을 통해 환경별 allowed-origins 값을 주입받도록 구조를 개선했습니다.

🎯 리뷰 포인트

📝 기타

프론트엔드 로컬 개발 관련... (중요)

• 이번 CORS 정책 분리를 하게 된다면, 프론트엔드 로컬(localhost)에서 운영 서버 API(api.sejong-zupzup.kr)를 직접 호출하는 것이 차단됩니다.
• 이는 추후 개발 서버를 따로 배포 하던가, 프론트 로컬에 백엔드 서버를 띄울수 있게 하면 될듯 싶은데요,
• 이와 관련하여 논의가 필요할것 같슴니다. (분리 할지 말지..?)

✅ 테스트

• 수동 테스트 완료
• 테스트 코드 완료

[HyerimH]

저는 분리하는게 좋을 것 같네요!
우선 프론트 로컬에서 운영 서버 접근을 막고 추후에 프론트 다시 작업 들어갈 때 dev 환경을 구축해보도록 하는 것도 좋네요👍

[chxghee]

또 추가적인 사항이 이제 로컬에선 스웨거 페이지도 저희 도메인 접속이 아니라 localhost 로 접속해서 요청해야 쿠키가 붙게 될 것 같슴당