bug: 창끄고 재로그인시 /refresh-token 무한 401에러발생

[seulnan]

🐞 설명

한번 로그인했다가 창 끄고 다시 들어가면 401무한 발생

📄 버그 로그

🌏 버그 발생 환경

dev클라/로컬클라에서 모두 발생

🙋🏻 버그 재현 방법

1. https://scouter.yourssu.com/schedules 에 먼저 들어가면 auth-001이 무한발생
2. 로그아웃(로그아웃요청도 무한으로 발생)
3. https://scouter.yourssu.com/ 로 들어가서 로그인 진행
4. access 토큰발급됨
5. 창 끄고 다른 새로운 창에서 다시 https://scouter.yourssu.com/schedules 에 들어가면
6. 또 근데 잘됨??

🙋🏻 참고 자료

노션 QA페이지

[github-actions]

Claude finished @seulnan's task —— View job

---

🔍 이슈 분석 완료

작업 목록:

• 코드베이스 컨텍스트 수집
• 인증/리프레시 토큰 관련 코드 분석
• 버그 원인 파악
• 구조적 분석 제공

---

📋 버그 분석 보고서

1. 기능 목적

토큰 갱신 메커니즘이 필요한 이유:

• 보안 강화: Access Token의 짧은 유효기간으로 탈취 시 피해 최소화
• 사용자 경험: Refresh Token을 통해 재로그인 없이 지속적인 서비스 이용 가능
• 기대 효과: 보안과 편의성의 균형을 맞춘 인증 시스템 구현

2. 영향 범위

컴포넌트	파일 경로	영향 내용
인증 컨트롤러	AuthenticationController.kt	/refresh-token 엔드포인트 로직
인증 서비스	AuthenticationService.kt	토큰 검증 및 갱신 로직
로그인 인터셉터	LoginInterceptor.kt	401 에러 발생 지점
JWT 프로세서	JwtTokenProcessor.kt	토큰 파싱 및 검증
예외 핸들러	CommonExceptionHandler.kt	에러 응답 처리
웹 설정	WebConfiguration.kt	인터셉터 적용 경로 설정

3. 구현 전략

🔴 문제 원인 분석

1. Bearer 접두사 중복 처리 문제

   // AuthenticationService.kt:59
   val normalizedRefreshToken = if (refreshToken.startsWith("Bearer ")) 
       refreshToken 
   else 
       "Bearer $refreshToken"

   • 이미 "Bearer "가 있는 토큰에 또 추가될 가능성

2. 토큰 검증 실패 시 null 반환

   // JwtTokenProcessor.kt:66-73
   } catch (_: JwtException) {
       null  // 예외 상세 정보 없이 null 반환
   }

   • 토큰 만료, 서명 불일치 등 구체적 실패 원인 파악 불가

3. 프론트엔드 토큰 저장 및 전송 불일치

   • 저장 시: Bearer 접두사 포함/미포함 혼재
   • 전송 시: Authorization 헤더와 body의 refreshToken 중복 전송

✅ 개선 방안

단계	작업 내용	구현 방법
1단계	토큰 정규화 로직 개선	• Bearer 접두사 중복 방지 • 일관된 토큰 형식 처리
2단계	상세 에러 로깅	• JwtException 세부 타입별 처리 • 토큰 검증 실패 원인 로깅
3단계	토큰 재시도 메커니즘	• 401 에러 시 1회 재시도 • 재시도 플래그로 무한 루프 방지
4단계	클라이언트 가이드	• 토큰 저장 형식 통일 • Authorization 헤더 우선 사용

🛠️ 구체적 구현 코드 예시

1. Bearer 접두사 처리 개선:

// AuthenticationService.kt
fun refreshToken(requestTime: LocalDateTime, refreshToken: String): TokenDto {
    val normalizedToken = when {
        refreshToken.startsWith("Bearer Bearer ") -> 
            refreshToken.substring(7)  // 중복 Bearer 제거
        !refreshToken.startsWith("Bearer ") -> 
            "Bearer $refreshToken"
        else -> refreshToken
    }
    // ...
}

2. 상세 에러 처리:

// JwtTokenProcessor.kt
private fun parseToClaims(tokenType: TokenType, token: String): Claims? {
    return try {
        // ...
    } catch (e: ExpiredJwtException) {
        logger.warn("Token expired: {}", e.message)
        null
    } catch (e: SignatureException) {
        logger.warn("Invalid token signature: {}", e.message)
        null
    } catch (e: JwtException) {
        logger.warn("Token validation failed: {}", e.message)
        null
    }
}

3. 클라이언트 토큰 관리 권장사항:

// 토큰 저장 시 Bearer 제거
localStorage.setItem('accessToken', token.replace('Bearer ', ''));

// API 요청 시 Bearer 추가
headers: {
    'Authorization': `Bearer ${localStorage.getItem('accessToken')}`
}

📊 예상 결과

• 토큰 갱신 시 401 무한 에러 해결
• 명확한 에러 원인 파악 가능
• 안정적인 인증 플로우 보장

---