인증, 비밀번호 관리, CORS/CSRF, OAuth, 빌드 보안 등 보안 관련 이슈.


#20a — REST_FRAMEWORK 중복 선언으로 인증 설정 덮어씀 (02-22)

현상: DRF 인증이 예상대로 동작하지 않음.

원인: settings.pyREST_FRAMEWORK 딕셔너리가 2회 선언되어 첨 번째 DEFAULT_AUTHENTICATION_CLASSES가 소실.

조치: 단일 선언으로 병합. (PR #29, f410173)


#20g — django-axes 로그인 잠금 미작동 (02-22)

현상: 틀린 비밀번호를 14회 연속 입력하여도 계정 잠금이 발생하지 않음.

원인: ACCOUNT_RATE_LIMITS 설정 오류로 잠금 기능이 비활성 상태.

조치: 설정값을 수정. (PR #29)


#39a — 보안 게이트 삭제로 재인증 없이 개인정보 접근 (03-06)

현상: 로그인만 완료하면 비밀번호 재확인 없이 개인정보 수정 및 계정 삭제 가능.

원인: 리팩토링 과정에서 /mypage/verifyVerifyGate 컴포넌트가 삭제됨.

조치: IsReauthenticated 퍼미션 + TimestampSigner(TTL=300s) 기반 보안 게이트 복원. (PR #39, c0e7820)


#26c — DB 비밀번호 하드코딩 — search.py (02-27)

현상: llm/mcp/tools/search.py에 DB 비밀번호 "welfare1234"가 하드코딩.

조치: 환경변수로 전환. (PR #46, BRAIN4-53)