// "아무도 이 URL을 모를 거야"
app.get("/api/x7k9m2p4q/users", async (req, res) => {
  // 인증 체크 없음! URL이 복잡하니까 안전하다고?
  const users = await db.users.findAll();
  res.json(users); // 모든 사용자 정보 반환 (비밀번호 포함)
});

// "관리자 페이지는 URL을 모르면 접근 못 해"
app.get("/super-secret-admin-dashboard-2024", (req, res) => {
  // 인증 체크 없음!
  res.render("admin-dashboard");
});

// "Base64로 인코딩하면 아무도 못 읽겠지"
function "storePassword"(password: string): string {
  return Buffer.from(password).toString("base64");
  // admin123 → YWRtaW4xMjM=
  // Base64는 인코딩이지 암호화가 아님!
  // 아무 디코더에 넣으면 원문 그대로 나옴
}

// "비밀 키를 환경변수가 아니라 코드에 넣어도 괜찮아. 어차피 컴파일되니까"
const JWT_SECRET = "my-super-secret-key-2024";
// git에 올라감. GitHub 검색하면 나옴. 끝.

// 프론트엔드
function handleAdminAccess() {
  if (currentUser.role === "admin") {
    // 관리자 메뉴 보여주기
    showAdminPanel();
  }
}

// 백엔드 API
app.delete("/api/users/:id", async (req, res) => {
  // 서버에서 권한 체크 없음!
  // "프론트에서 관리자만 이 버튼을 볼 수 있으니까 괜찮아"
  await db.users.delete(req.params.id);
  res.json({ success: true });
});
// curl로 직접 호출하면? 누구나 삭제 가능.

// JWT 인증 + RBAC(역할 기반 접근 제어)
import jwt from "jsonwebtoken";
import bcrypt from "bcrypt";

// 미들웨어: 모든 보호된 라우트에 적용
function authenticate(req: Request, res: Response, next: NextFunction) {
  const token = req.headers.authorization?.replace("Bearer ", "");
  if (!token) return res.status(401).json({ error: "인증 필요" });

  try {
    const payload = jwt.verify(token, process.env.JWT_SECRET!);
    req.user = payload;
    next();
  } catch {
    return res.status(401).json({ error: "유효하지 않은 토큰" });
  }
}

// 역할 기반 권한 체크
function authorize(...roles: string[]) {
  return (req: Request, res: Response, next: NextFunction) => {
    if (!roles.includes(req.user.role)) {
      return res.status(403).json({ error: "권한 없음" });
    }
    next();
  };
}

// 비밀번호는 bcrypt로 해싱 (단방향, 복호화 불가)
async function hashPassword(password: string): Promise<string> {
  return bcrypt.hash(password, 12);
}

// API 라우트: 인증 + 권한 체크 필수
app.get("/api/users", authenticate, authorize("admin"), async (req, res) => {
  const users = await db.users.findAll({
    select: { id: true, name: true, email: true }, // 비밀번호 제외!
  });
  res.json(users);
});

app.delete("/api/users/:id", authenticate, authorize("admin"), async (req, res) => {
  // 서버에서 반드시 권한 확인
  await db.users.delete(req.params.id);
  res.json({ success: true });
});

// 이러면 전 세계 어디서든 API 호출 가능
app.use(cors({
  origin: "*",
  credentials: true, // 쿠키까지 전달 허용? 재앙.
}));

// 기본 Express는 보안 헤더가 거의 없음
const app = express();
app.listen(3000);
// X-Content-Type-Options? 없음
// X-Frame-Options? 없음
// Content-Security-Policy? 없음
// Strict-Transport-Security? 없음

# Docker로 MongoDB 띄우기 — 인증 없이 접근 가능
services:
  mongodb:
    image: mongo:latest
    ports:
      - "27017:27017"
    # 인증 설정? 없음. 누구나 접속 가능.

// alg: "none"을 허용하면 토큰 위조 가능
const payload = jwt.verify(token, secret);
// 공격자가 alg을 "none"으로 변경하면 시그니처 검증을 건너뜀

// 개발 중에는 편리하지만...
app.use(errorHandler({
  showStackTrace: true, // 스택 트레이스가 사용자에게 노출
  showSQLQueries: true, // SQL 쿼리가 에러 페이지에 표시
}));
// 이걸 프로덕션에 그대로 배포하면?
// 공격자에게 내부 구조, 파일 경로, DB 스키마를 알려주는 꼴

admin / admin
admin / password
root / root
admin / 1234

// "나중에 바꾸자"
// "나중"은 오지 않는다. 그리고 Shodan이 찾아온다.

// CORS: 허용 출처를 명시적으로 지정
app.use(cors({
  origin: ["https://myapp.com", "https://admin.myapp.com"],
  methods: ["GET", "POST", "PUT", "DELETE"],
  credentials: true,
}));

// Helmet: 보안 헤더 자동 설정
import helmet from "helmet";
app.use(helmet()); // 한 줄이면 됨
// X-Content-Type-Options: nosniff
// X-Frame-Options: DENY
// Content-Security-Policy: ...
// Strict-Transport-Security: ...

// JWT: 알고리즘 명시적 지정
const payload = jwt.verify(token, secret, {
  algorithms: ["HS256"], // 허용 알고리즘을 명시. "none" 차단.
});

// 에러 핸들러: 환경별 분기
app.use((err: Error, req: Request, res: Response, next: NextFunction) => {
  console.error(err); // 로그에는 상세 정보

  res.status(500).json({
    error: process.env.NODE_ENV === "production"
      ? "Internal Server Error" // 프로덕션에서는 일반적인 메시지만
      : err.message,            // 개발 환경에서만 상세 정보
  });
});

# MongoDB: 인증 활성화
services:
  mongodb:
    image: mongo:latest
    ports:
      - "27017:27017"
    environment:
      MONGO_INITDB_ROOT_USERNAME: ${MONGO_USER}
      MONGO_INITDB_ROOT_PASSWORD: ${MONGO_PASSWORD}
    command: ["--auth"]