Fix: CORS AllowHeaders에 X-Requested-With 추가

웹 클라이언트의 fetch 요청에서 X-Requested-With 헤더가
CORS preflight에서 차단되는 문제 수정.

Co-Authored-By: Claude Opus 4.6 (1M context) <noreply@anthropic.com>

internal/bossraid/service.go

@@ -252,7 +252,10 @@ func (s *Service) CompleteRaid(sessionName string, rewards []PlayerReward) (*Bos
 		}
 	}
 
-	// Reset slot to idle so it can accept new raids
+	// BossRoom 삭제 후 슬롯 리셋 — 다음 파티가 즉시 슬롯 재사용 가능
+	if err := s.repo.DeleteRoomBySessionName(sessionName); err != nil {
+		log.Printf("BossRoom 삭제 실패 (complete): %s: %v", sessionName, err)
+	}
 	if err := s.repo.ResetRoomSlot(sessionName); err != nil {
 		log.Printf("슬롯 리셋 실패 (complete): %s: %v", sessionName, err)
 	}
@@ -276,15 +279,20 @@ func (s *Service) FailRaid(sessionName string) (*BossRoom, error) {
 		return nil, fmt.Errorf("상태 업데이트 실패: %w", err)
 	}
 
-	// Reset slot to idle so it can accept new raids
-	if err := s.repo.ResetRoomSlot(sessionName); err != nil {
-		log.Printf("슬롯 리셋 실패 (fail): %s: %v", sessionName, err)
-	}
-
+	// 응답용 room 조회 (삭제 전에 수행)
 	room, err := s.repo.FindBySessionName(sessionName)
 	if err != nil {
 		return nil, fmt.Errorf("방을 찾을 수 없습니다: %w", err)
 	}
+
+	// BossRoom 삭제 후 슬롯 리셋 — 다음 파티가 즉시 슬롯 재사용 가능
+	if err := s.repo.DeleteRoomBySessionName(sessionName); err != nil {
+		log.Printf("BossRoom 삭제 실패 (fail): %s: %v", sessionName, err)
+	}
+	if err := s.repo.ResetRoomSlot(sessionName); err != nil {
+		log.Printf("슬롯 리셋 실패 (fail): %s: %v", sessionName, err)
+	}
+
 	return room, nil
 }
 

internal/player/service.go

@@ -167,9 +167,9 @@ func (s *Service) SaveGameDataByUsername(username string, data *GameDataRequest)
 
 // GrantExperience adds experience to a player and handles level ups + stat recalculation.
 func (s *Service) GrantExperience(userID uint, exp int) (*LevelUpResult, error) {
-	profile, err := s.repo.FindByUserID(userID)
+	profile, err := s.GetProfile(userID)
 	if err != nil {
-		return nil, fmt.Errorf("프로필이 존재하지 않습니다")
+		return nil, fmt.Errorf("프로필 조회/생성 실패: %w", err)
 	}
 
 	result := ApplyExperience(profile.Level, profile.Experience, exp)

internal/server/server.go

@@ -33,7 +33,7 @@ func New() *fiber.App {
 	app.Use(middleware.SecurityHeaders)
 	app.Use(cors.New(cors.Config{
 		AllowOrigins:     "https://a301.tolelom.xyz",
-		AllowHeaders:     "Origin, Content-Type, Authorization, Idempotency-Key, X-API-Key",
+		AllowHeaders:     "Origin, Content-Type, Authorization, Idempotency-Key, X-API-Key, X-Requested-With",
 		AllowMethods:     "GET, POST, PUT, PATCH, DELETE",
 		AllowCredentials: true,
 	}))