[feat] 소셜 로그인을 Firebase Authentication 기반으로 전환

[theminjunchoi]

🔗 연관 이슈

• close [feat] 소셜 로그인을 Firebase Authentication 기반으로 전환 #9

📌 개요

앱이 Firebase Authentication으로 로그인하기로 해, 서버의 소셜 로그인 검증을 구글/애플 원본 토큰 검증(native OIDC) 에서 Firebase ID 토큰 검증으로 전환합니다. 우리 서비스 토큰(access·refresh) 발급·재발급·해싱 로직은 그대로 유지되고, "들어온 소셜 토큰을 검증하는" 레이어만 교체됩니다.

🔧 주요 변경사항

검증 레이어 교체

• SocialTokenVerifier 인터페이스 + FirebaseTokenVerifier 구현
  • issuer https://securetoken.google.com/{projectId}, aud {projectId}, 서명·만료 검증
  • 로그인 수단(구글/애플)은 firebase.sign_in_provider 클레임에서 판별
  • 사용자 식별자는 sub(Firebase UID)
• FirebaseJwkSource — 구글 securetoken x509 인증서 엔드포인트에서 공개키를 가져와 Cache-Control 만큼 캐싱 (표준 JWKS 형식이 아니라 직접 파싱)

API 단순화

• POST /api/auth/login/{provider} → POST /api/auth/login 단일 엔드포인트
• 토큰이 provider를 자체 식별하므로 경로에서 provider를 받지 않음

설정

• Firebase 프로젝트 ID(gamss-cbdcb)는 비밀이 아니라 application.yml 설정값으로 둠
• GOOGLE_CLIENT_IDS·APPLE_CLIENT_IDS 시크릿과 기동 검증(OAuthClientIdsValidator)이 불필요해짐

네이밍 정리 (Firebase 전환에 맞춤)

• 패키지 auth.oauth → auth.social
• OAuthProvider → SocialProvider
• ErrorCode.UNSUPPORTED_OAUTH_PROVIDER → UNSUPPORTED_SOCIAL_PROVIDER

Swagger 문서 보강 (앱 연동용)

• ApiResponse·ErrorResponse에 @Schema 설명 추가 (공통 응답 포맷·error.code 분기)
• 로그인·재발급 엔드포인트 설명에 실패 응답 error.code 목록 명시

제거 (native OIDC 레이어)

• OidcTokenVerifier, GoogleOAuthClient/AppleOAuthClient, OAuthClientResolver, AllowedAudiences, OAuthProperties, OAuthClientIdsValidator, JwkSources, OAuthUserInfo

유지

• 서비스 토큰 발급·재발급·해싱(JwtIssuer, TokenHasher), AuthService/LoginService 흐름, ConflictRetry(동시 로그인 재시도), SocialAccount(provider·providerId=UID)

🌐 API · DB 영향

• API 변경: POST /api/auth/login/{provider} → POST /api/auth/login (body는 { idToken } 동일, idToken이 이제 Firebase ID 토큰)
• DB 마이그레이션: 없음 (social_accounts.provider_id에 Firebase UID를 저장 — 스키마 불변)
• 하위 호환: ⚠️ 앱이 Firebase ID 토큰을 보내야 함 (아직 미출시라 영향 없음)

💬 리뷰 포인트

1. x509 공개키 소스 — end-to-end 검증됨 — Firebase securetoken은 표준 JWKS가 아니라 {kid: PEM인증서} 형식이라 FirebaseJwkSource에서 직접 파싱·캐싱합니다. openssl로 만든 실제 키쌍으로 파싱 → 공개키 → 짝 개인키가 서명한 토큰 검증 성공까지 테스트했습니다(FirebaseJwkSourceTest). 검증 로직 자체는 로컬 키 주입 FirebaseTokenVerifierTest가 커버합니다.

2. 키 엔드포인트 장애 시 500 — Firebase 공개키 서버가 다운되면 FirebaseJwkSource의 IOException이 500으로 나갑니다(서버 측 의존성 장애). 기존 native 코드도 동일했고, 클라이언트 오류가 아니므로 그대로 뒀습니다.

📋 앱 팀과 합의할 것

• 앱이 POST /api/auth/login에 Firebase ID 토큰(user.getIdToken())을 보낼 것
• Firebase Console에서 구글·애플 로그인 활성화 확인
• 연동 테스트 시 Firebase ID 토큰 하나 공유 → 실제 검증까지 확인 가능

테스트 101개 통과 (Firebase 토큰 검증 · x509 파싱·서명 검증 · 동시 로그인 경합 재현 포함).

[github-actions]

Test Results

102 tests   - 14   102 ✅  - 14   58s ⏱️ +2s
 23 suites  -  4     0 💤 ± 0 
 23 files    -  4     0 ❌ ± 0 

Results for commit f2afe5f. ± Comparison against base commit 110c9e5.

This pull request removes 30 and adds 16 tests. Note that renamed tests count towards both.

com.nexters.gamss.auth.controller.AuthControllerTest ‑ 지원하지 않는 provider면 400과 UNSUPPORTED_OAUTH_PROVIDER를 반환한다()
com.nexters.gamss.auth.oauth.AllowedAudiencesTest ‑ 교집합이 없으면 거부한다()
com.nexters.gamss.auth.oauth.AllowedAudiencesTest ‑ 교집합이 있으면 허용한다()
com.nexters.gamss.auth.oauth.AllowedAudiencesTest ‑ 허용 목록이 비어 있으면 모든 audience를 거부한다()
com.nexters.gamss.auth.oauth.AllowedAudiencesTest ‑ 허용 목록이 있는데 audience가 비어 있으면 거부한다()
com.nexters.gamss.auth.oauth.OAuthClientIdsValidatorTest ‑ dev 프로필에서 client-ids가 모두 있으면 통과한다()
com.nexters.gamss.auth.oauth.OAuthClientIdsValidatorTest ‑ dev 프로필에서 google client-ids가 비면 기동에 실패한다()
com.nexters.gamss.auth.oauth.OAuthClientIdsValidatorTest ‑ local 프로필에서는 client-ids가 비어도 통과한다()
com.nexters.gamss.auth.oauth.OAuthClientIdsValidatorTest ‑ prod 프로필에서 apple client-ids가 비면 기동에 실패한다()
com.nexters.gamss.auth.oauth.OAuthClientIdsValidatorTest ‑ 활성 프로필이 없으면 client-ids가 비어도 통과한다()
…

com.nexters.gamss.auth.social.FirebaseJwkSourceTest ‑ x509 인증서 JSON을 kid로 조회 가능한 RSA 공개키로 파싱한다()
com.nexters.gamss.auth.social.FirebaseJwkSourceTest ‑ 공개키 조회에 실패하면 SOCIAL_AUTH_UNAVAILABLE 예외를 던진다()
com.nexters.gamss.auth.social.FirebaseJwkSourceTest ‑ 파싱한 공개키로 짝이 되는 개인키가 서명한 토큰을 검증한다()
com.nexters.gamss.auth.social.FirebaseTokenVerifierTest ‑ subject(uid)가 없으면 INVALID_SOCIAL_TOKEN()
com.nexters.gamss.auth.social.FirebaseTokenVerifierTest ‑ 대상(aud)이 프로젝트 ID와 다르면 INVALID_SOCIAL_TOKEN()
com.nexters.gamss.auth.social.FirebaseTokenVerifierTest ‑ 등록되지 않은 키로 서명하면 INVALID_SOCIAL_TOKEN()
com.nexters.gamss.auth.social.FirebaseTokenVerifierTest ‑ 만료된 토큰이면 INVALID_SOCIAL_TOKEN()
com.nexters.gamss.auth.social.FirebaseTokenVerifierTest ‑ 발급자가 다르면 INVALID_SOCIAL_TOKEN()
com.nexters.gamss.auth.social.FirebaseTokenVerifierTest ‑ 애플 로그인 수단을 매핑한다()
com.nexters.gamss.auth.social.FirebaseTokenVerifierTest ‑ 유효한 구글 토큰이면 사용자 정보를 반환한다()
…

♻️ This comment has been updated with latest results.

[github-actions]

Test Coverage

Overall Project	91.7% -7.24%	🍏
Files changed	71.97%	🍏

File	Coverage
FirebaseProperties.kt	100%	🍏
SocialUser.kt	100%	🍏
SocialProvider.kt	100%	🍏
ApiResponse.kt	100%	🍏
ErrorResponse.kt	100%	🍏
ErrorCode.kt	100%	🍏
AuthService.kt	100%	🍏
ConcurrentRegistrationException.kt	100%	🍏
SocialAccountService.kt	100%	🍏
LoginService.kt	100%	🍏
MemberController.kt	100%	🍏
AuthController.kt	100%	🍏
LoginRequest.kt	100%	🍏
FirebaseTokenVerifier.kt	84.21% -15.79%	🍏
FirebaseJwkSource.kt	46.4% -53.6%	🍏

[kite707]

SOCIAL_AUTH_UNAVAILABLE(503)로 새 에러코드를 만드시면서 200이 아닌 경우(구글이 4xx/5xx 주는 상황)까지 같이 커버해주신 부분이 좋았습니다.
테스트코드까지 꼼꼼히 잘 챙겨주셨네요!

확인한 내용대로 잘 반영되어서 승인합니다. 고생하셨습니다!