feat: 코드 리뷰 기반 전면 개선 — 보안, 검증, 테스트, 안정성

- 체인 nonce 경쟁 조건 수정 (operatorMu + per-user mutex)
- 등록/SSAFY 원자적 트랜잭션 (wallet+profile 롤백 보장)
- IdempotencyRequired 미들웨어 (SETNX 원자적 클레임)
- 런치 티켓 API (JWT URL 노출 방지)
- HttpOnly 쿠키 refresh token
- SSAFY OAuth state 파라미터 (CSRF 방지)
- Refresh 시 DB 조회로 최신 role 사용
- 공지사항/유저목록 페이지네이션
- BodyLimit 미들웨어 (1MB, upload 제외)
- 입력 검증 강화 (닉네임, 게임데이터, 공지 길이)
- 에러 메시지 내부 정보 노출 방지
- io.LimitReader (RPC 10MB, SSAFY 1MB)
- RequestID 비출력 문자 제거
- 단위 테스트 (auth 11, announcement 9, bossraid 16)

Co-Authored-By: Claude Opus 4.6 (1M context) <noreply@anthropic.com>

internal/auth/handler.go

@@ -41,7 +41,10 @@ func (h *Handler) Register(c *fiber.Ctx) error {
 		return c.Status(fiber.StatusBadRequest).JSON(fiber.Map{"error": "비밀번호는 72자 이하여야 합니다"})
 	}
 	if err := h.svc.Register(req.Username, req.Password); err != nil {
-		return c.Status(fiber.StatusConflict).JSON(fiber.Map{"error": "회원가입에 실패했습니다"})
+		if strings.Contains(err.Error(), "이미 사용 중") {
+			return c.Status(fiber.StatusConflict).JSON(fiber.Map{"error": err.Error()})
+		}
+		return c.Status(fiber.StatusInternalServerError).JSON(fiber.Map{"error": "회원가입에 실패했습니다"})
 	}
 	return c.Status(fiber.StatusCreated).JSON(fiber.Map{"message": "회원가입이 완료되었습니다"})
 }
@@ -70,30 +73,53 @@ func (h *Handler) Login(c *fiber.Ctx) error {
 		return c.Status(fiber.StatusUnauthorized).JSON(fiber.Map{"error": err.Error()})
 	}
 
+	c.Cookie(&fiber.Cookie{
+		Name:     "refresh_token",
+		Value:    refreshToken,
+		HTTPOnly: true,
+		Secure:   true,
+		SameSite: "Strict",
+		Path:     "/api/auth/refresh",
+		MaxAge:   7 * 24 * 60 * 60, // 7 days
+	})
 	return c.JSON(fiber.Map{
-		"token":        accessToken,
-		"refreshToken": refreshToken,
-		"username":     user.Username,
-		"role":         user.Role,
+		"token":    accessToken,
+		"username": user.Username,
+		"role":     user.Role,
 	})
 }
 
 func (h *Handler) Refresh(c *fiber.Ctx) error {
-	var req struct {
-		RefreshToken string `json:"refreshToken"`
+	refreshTokenStr := c.Cookies("refresh_token")
+	if refreshTokenStr == "" {
+		// Fallback to body for backward compatibility
+		var req struct {
+			RefreshToken string `json:"refreshToken"`
+		}
+		if err := c.BodyParser(&req); err == nil && req.RefreshToken != "" {
+			refreshTokenStr = req.RefreshToken
+		}
 	}
-	if err := c.BodyParser(&req); err != nil || req.RefreshToken == "" {
-		return c.Status(fiber.StatusBadRequest).JSON(fiber.Map{"error": "refreshToken 필드가 필요합니다"})
+	if refreshTokenStr == "" {
+		return c.Status(fiber.StatusBadRequest).JSON(fiber.Map{"error": "refreshToken이 필요합니다"})
 	}
 
-	newAccessToken, newRefreshToken, err := h.svc.Refresh(req.RefreshToken)
+	newAccessToken, newRefreshToken, err := h.svc.Refresh(refreshTokenStr)
 	if err != nil {
 		return c.Status(fiber.StatusUnauthorized).JSON(fiber.Map{"error": err.Error()})
 	}
 
+	c.Cookie(&fiber.Cookie{
+		Name:     "refresh_token",
+		Value:    newRefreshToken,
+		HTTPOnly: true,
+		Secure:   true,
+		SameSite: "Strict",
+		Path:     "/api/auth/refresh",
+		MaxAge:   7 * 24 * 60 * 60, // 7 days
+	})
 	return c.JSON(fiber.Map{
-		"token":        newAccessToken,
-		"refreshToken": newRefreshToken,
+		"token": newAccessToken,
 	})
 }
 
@@ -105,11 +131,28 @@ func (h *Handler) Logout(c *fiber.Ctx) error {
 	if err := h.svc.Logout(userID); err != nil {
 		return c.Status(fiber.StatusInternalServerError).JSON(fiber.Map{"error": "로그아웃 처리 중 오류가 발생했습니다"})
 	}
+	c.Cookie(&fiber.Cookie{
+		Name:     "refresh_token",
+		Value:    "",
+		HTTPOnly: true,
+		Secure:   true,
+		SameSite: "Strict",
+		Path:     "/api/auth/refresh",
+		MaxAge:   -1, // delete
+	})
 	return c.JSON(fiber.Map{"message": "로그아웃 되었습니다"})
 }
 
 func (h *Handler) GetAllUsers(c *fiber.Ctx) error {
-	users, err := h.svc.GetAllUsers()
+	offset := c.QueryInt("offset", 0)
+	limit := c.QueryInt("limit", 50)
+	if limit <= 0 || limit > 100 {
+		limit = 50
+	}
+	if offset < 0 {
+		offset = 0
+	}
+	users, err := h.svc.GetAllUsers(offset, limit)
 	if err != nil {
 		return c.Status(fiber.StatusInternalServerError).JSON(fiber.Map{"error": "유저 목록을 불러오지 못했습니다"})
 	}
@@ -155,29 +198,74 @@ func (h *Handler) VerifyToken(c *fiber.Ctx) error {
 }
 
 func (h *Handler) SSAFYLoginURL(c *fiber.Ctx) error {
-	loginURL := h.svc.GetSSAFYLoginURL()
+	loginURL, err := h.svc.GetSSAFYLoginURL()
+	if err != nil {
+		return c.Status(fiber.StatusInternalServerError).JSON(fiber.Map{"error": "SSAFY 로그인 URL 생성에 실패했습니다"})
+	}
 	return c.JSON(fiber.Map{"url": loginURL})
 }
 
 func (h *Handler) SSAFYCallback(c *fiber.Ctx) error {
 	var req struct {
-		Code string `json:"code"`
+		Code  string `json:"code"`
+		State string `json:"state"`
 	}
 	if err := c.BodyParser(&req); err != nil || req.Code == "" {
 		return c.Status(fiber.StatusBadRequest).JSON(fiber.Map{"error": "인가 코드가 필요합니다"})
 	}
+	if req.State == "" {
+		return c.Status(fiber.StatusBadRequest).JSON(fiber.Map{"error": "state 파라미터가 필요합니다"})
+	}
 
-	accessToken, refreshToken, user, err := h.svc.SSAFYLogin(req.Code)
+	accessToken, refreshToken, user, err := h.svc.SSAFYLogin(req.Code, req.State)
 	if err != nil {
 		return c.Status(fiber.StatusUnauthorized).JSON(fiber.Map{"error": err.Error()})
 	}
 
-	return c.JSON(fiber.Map{
-		"token":        accessToken,
-		"refreshToken": refreshToken,
-		"username":     user.Username,
-		"role":         user.Role,
+	c.Cookie(&fiber.Cookie{
+		Name:     "refresh_token",
+		Value:    refreshToken,
+		HTTPOnly: true,
+		Secure:   true,
+		SameSite: "Strict",
+		Path:     "/api/auth/refresh",
+		MaxAge:   7 * 24 * 60 * 60, // 7 days
 	})
+	return c.JSON(fiber.Map{
+		"token":    accessToken,
+		"username": user.Username,
+		"role":     user.Role,
+	})
+}
+
+// CreateLaunchTicket issues a one-time ticket for the game launcher.
+// The launcher uses this ticket instead of receiving the JWT directly in the URL.
+func (h *Handler) CreateLaunchTicket(c *fiber.Ctx) error {
+	userID, ok := c.Locals("userID").(uint)
+	if !ok {
+		return c.Status(fiber.StatusUnauthorized).JSON(fiber.Map{"error": "인증 정보가 올바르지 않습니다"})
+	}
+	ticket, err := h.svc.CreateLaunchTicket(userID)
+	if err != nil {
+		return c.Status(fiber.StatusInternalServerError).JSON(fiber.Map{"error": "티켓 발급에 실패했습니다"})
+	}
+	return c.JSON(fiber.Map{"ticket": ticket})
+}
+
+// RedeemLaunchTicket exchanges a one-time ticket for an access token.
+// Called by the game launcher, not the web browser.
+func (h *Handler) RedeemLaunchTicket(c *fiber.Ctx) error {
+	var req struct {
+		Ticket string `json:"ticket"`
+	}
+	if err := c.BodyParser(&req); err != nil || req.Ticket == "" {
+		return c.Status(fiber.StatusBadRequest).JSON(fiber.Map{"error": "ticket 필드가 필요합니다"})
+	}
+	token, err := h.svc.RedeemLaunchTicket(req.Ticket)
+	if err != nil {
+		return c.Status(fiber.StatusUnauthorized).JSON(fiber.Map{"error": err.Error()})
+	}
+	return c.JSON(fiber.Map{"token": token})
 }
 
 func (h *Handler) DeleteUser(c *fiber.Ctx) error {