docs: 인증·관리자 설계와 저장소 현행화

[SD-gif]

문서만 바꾼다. 코드 변경 없음.

1. 인증·인가와 관리자 기능 설계 (신규)

docs/auth-and-admin-spec.md. 결정된 것은 다음 네 가지다.

항목	결정
인증	구글 ID 토큰 검증 후 자체 JWT 발급
리프레시	Redis, 회전 방식
일정 소유권	schedules.user_id 추가 — data 저장소 동시 변경
관리자	신고 처리, 사용자 관리, 장소 데이터, 통계

인가 적용은 마지막에 둔다. 비로그인 요청이 401 을 받기 시작하는 유일한 파괴적
변경이라 프론트 배포와 맞춰야 한다. 그 전 단계(로그인·토큰 발급·소유자 기록·관리자
기능)는 토큰을 주되 요구하지 않으므로 어떤 클라이언트도 깨지지 않는다. 전체 12일 중
파괴적 구간은 마지막 2.5일뿐이다.

다만 /api/v1/admin/** 은 예외다. SecurityConfig 가 지금 /api/v1/** 를
통째로 permitAll() 하므로, 관리자 컨트롤러를 그대로 추가하면 누구나 사용자를
정지시키고 게시물을 지울 수 있다. 만드는 순간부터 hasRole('ADMIN') 이 필요하며,
따라서 로그인·JWT 가 관리자 기능보다 먼저 와야 한다.

설계 중 확인한 현재 상태도 문서 2절에 적었다.

• SecurityConfig 가 전부 permitAll(). security 스타터는 있으나 꺼진 상태
• users 에 email·provider·role·status 없음
• schedules 에 user_id 없음. 이 테이블은 FastAPI 가 쓴다
• CORS 허용 헤더에 Authorization 이 없다. 하드코딩이라 설정으로 못 바꾼다.
  같은 이유로 PR Feature/community tables (feat: 커뮤니티 테이블과 게시물 엔티티 추가) #78 의 X-User-Id 도 브라우저 preflight 에서 막힌다

2. CLAUDE.md 현행화

날짜가 2026-08-11 에 멈춰 있어 현재 상태로 갱신한다.

FastAPI 위임 RestClient 주의사항을 표로 추가했다. 반드시
JdkClientHttpRequestFactory + HTTP_1_1 조합이어야 한다.

잘못 쓰면	무슨 일이 나는가
SimpleClientHttpRequestFactory	내부가 HttpURLConnection 이라 PATCH 를 못 보낸다. 일정 수정이 항상 503
HTTP_1_1 미지정	기본값 HTTP/2 로 h2c 업그레이드를 시도하다 uvicorn 이 거부하며 본문이 유실된다. 본문 있는 POST·PATCH 가 전부 422

loc:["body"] 로 오는 422 는 계약 불일치가 아니라 본문 미전송이라는 판별법과,
com.sun.net.httpserver 스텁으로는 재현되지 않는다는 점도 함께 적었다.

즉흥 여행 추천(#79)이 다른 위임 계층과 다르게 동작하는 지점, 지역별 추천 장소를
하려면 무엇이 필요한지도 기록했다.

3. api-change-log

• 2026-08-15 즉흥 여행 목적지 추천 신설 (feat: fastapi #79) — 미비점 포함
• 2026-08-11 일정 수정이 항상 503 이던 문제 복구 (fix(schedule): PATCH /schedules 가 항상 503 이던 문제 수정 #76, fix(schedule): FastAPI 위임을 HTTP/1.1 로 고정 #77)

4. .gitignore

.DS_Store 와 output/ 추가. 추적된 적은 없으나 git status 에 계속 떠서
커밋에 잘못 담길 여지가 있었다.

영향

• API 변경 없음
• DB·ERD 변경 없음
• 코드 변경 없음

🤖 Generated with Claude Code

[github-actions]

🤖 Gemini PR Review

분석 결과 개선할 부분이 없습니다.

---

_{Model: `gemini-3.5-flash` · API key: `PRIMARY` · Commit: `390e98e`}