develop -> main

.dockerignore

@@ -5,4 +5,3 @@
 !build/
 !build/libs/
 !build/libs/KONECT_API.jar
-!opentelemetry-javaagent.jar

.env.example

@@ -58,12 +58,3 @@ CLAUDE_MODEL=claude-sonnet-4-20250514
 
 # MCP Bridge Configuration
 MCP_BRIDGE_URL=http://localhost:3100
-
-# Tracing Configuration (OTel Java Agent -> Tempo)
-JAVA_TOOL_OPTIONS=-javaagent:/app/opentelemetry-javaagent.jar
-OTEL_SERVICE_NAME=your-service-name
-OTEL_TRACES_EXPORTER=otlp
-OTEL_METRICS_EXPORTER=none
-OTEL_LOGS_EXPORTER=none
-OTEL_EXPORTER_OTLP_PROTOCOL=http/protobuf
-OTEL_EXPORTER_OTLP_TRACES_ENDPOINT=http://your-monitoring-host:4318/v1/traces

.github/copilot-instructions.md

@@ -1 +1,61 @@
-Always respond in Korean.
+# Copilot 코드 리뷰 지침
+
+모든 리뷰 코멘트는 한국어로 작성한다.
+
+## 리뷰 우선순위
+
+- 정확성, 보안, 권한 검증, 데이터 무결성, 트랜잭션 경계, API 응답 계약, 동시성 문제, 테스트 누락을 우선 확인한다.
+- 변경된 코드에서 실제로 발생 가능한 문제만 지적한다. 단순 취향, 스타일 선호, 광범위한 리팩터링, 근거가 약한 추측은 리뷰 코멘트로 남기지 않는다.
+- 보안 관련 변경에서는 인증/인가 우회, 사용자 입력 검증 누락, 민감정보 노출, 운영 환경 설정 노출 가능성을 우선 확인한다.
+- 데이터베이스 변경에서는 마이그레이션 순서, 기존 데이터 호환성, nullable/default 처리, 롤백 난이도, 인덱스 필요성을 확인한다.
+- 외부 API, OAuth, Slack, Claude, MCP, 파일 저장소처럼 외부 시스템과 연결되는 코드는 장애 전파, timeout, 예외 처리, 설정값 누락 시 동작을 확인한다.
+
+## 심각도 판단
+
+- P0: 데이터 손실, 보안 취약점, 인증/인가 우회, 운영 장애처럼 반드시 병합 전에 고쳐야 하는 문제만 해당한다.
+- P1: 정상 사용 흐름에서 기능이 깨지거나 API 계약이 바뀌거나 기존 데이터와 호환되지 않는 문제다.
+- P2: 특정 조건에서 재현되는 버그, 성능 저하, 유지보수 위험, 테스트 공백처럼 수정 가치가 분명한 문제다.
+- P3: 영향이 작고 선택적인 개선이다. 단순 취향이면 코멘트하지 않는다.
+- nitpick을 P0/P1처럼 과장하지 말고, 문제의 실제 영향과 재현 가능성에 맞춰 판단한다.
+
+## 프로젝트 관례
+
+- 이 저장소의 기존 Spring Boot, JPA, QueryDSL, Bean Validation, 예외 처리, 테스트 패턴을 우선 따른다.
+- 요청 범위를 벗어난 추상화, 확장 포인트, 방어 코드, unrelated cleanup을 제안하지 않는다.
+- Java 코드에서 import로 해결할 수 있는 경우 FQCN(Full Qualified Class Name)을 사용하지 않도록 지적한다.
+- 기존 스타일과 일치하지 않는 코드가 실제 유지보수 위험을 만들 때만 지적한다. 단순히 다른 스타일도 가능하다는 이유로 코멘트를 남기지 않는다.
+- 도메인별 `AGENTS.md`가 있는 경로를 수정하는 PR에서는 해당 문서의 정책, 역할, 생명주기, 불변식과 구현이 어긋나지 않는지 확인한다.
+- 변경 범위 밖의 오래된 죽은 코드, 이름 변경, 포맷 정리는 현재 PR의 버그나 회귀와 직접 연결될 때만 언급한다.
+
+## 주석 기준
+
+- 조건이 2개 이상 결합된 비즈니스 규칙, 권한 조건, soft delete 제외, 중복 제거, fallback 우선순위, 대표값 선택, DTO 변환, count 쿼리 분리, fetch join 선택 이유처럼 코드만으로 의도가 숨겨지는 지점에는 주석을 권장한다.
+- 주석은 코드가 무엇을 하는지보다 왜 그렇게 해야 하는지를 설명해야 한다.
+- 단순 생성자 호출, 필드 매핑, 컬렉션 반환, 이름만으로 명확한 분기에는 주석을 요구하지 않는다.
+
+## 테스트 기준
+
+- 버그 수정, 검증 로직, 권한 정책, 마이그레이션, API 응답 변경, 회귀 위험이 있는 변경은 실패를 재현하는 테스트 또는 정책을 고정하는 테스트가 있는지 확인한다.
+- 리팩터링 PR에서는 새 기능 테스트보다 기존 동작이 유지되는지 확인한다.
+- 테스트는 동작과 정책을 검증해야 한다. private 메서드 호출 여부, 내부 구현 순서, 과도한 mock 호출 횟수처럼 brittle한 구현 세부사항을 강제하지 않는다.
+- 이미 컨트롤러/서비스/레포지토리 테스트 패턴이 있는 영역에서는 같은 계층의 기존 테스트 스타일을 따르도록 제안한다.
+- mock 호출 횟수 검증은 해당 호출 자체가 외부 부작용, 이벤트 발행, 저장, 알림 전송 같은 비즈니스 결과일 때만 요구한다.
+- 테스트가 성공 경로만 확인하고 실패/권한/경계값을 놓친 경우에는 어떤 입력이 빠졌는지 구체적으로 제안한다.
+
+## KONECT 특화 체크포인트
+
+- 권한 로직은 관리자 우회, 요청자와 대상자 관계, 클럽/채팅방/공지/일정의 소속 검증이 빠지지 않았는지 확인한다.
+- soft delete, 탈퇴 사용자, 차단/제외 조건, 중복 제거가 필요한 조회에서는 응답에 노출되면 안 되는 데이터가 포함되는지 확인한다.
+- DTO 응답 변경은 기존 클라이언트가 기대하는 필드명, nullability, enum/string 값, 정렬 순서를 깨지 않는지 확인한다.
+- JPA/QueryDSL 조회 변경은 N+1, 잘못된 fetch join, count 쿼리 왜곡, pagination 깨짐, distinct 누락을 확인한다.
+- Flyway 마이그레이션은 파일명 버전 순서, 기존 운영 데이터 backfill, NOT NULL 추가 순서, 기본값 처리까지 확인한다.
+- 운영 설정 변경은 prod/stage/local 프로파일 차이, Swagger/OpenAPI 노출, secret/env 누락 시 실패 방식을 확인한다.
+
+## 리뷰 코멘트 작성 방식
+
+- 가장 작은 관련 라인 범위에 코멘트를 단다.
+- 첫 문장에 문제와 영향을 바로 쓰고, 가능하면 `이 입력/상태에서 이런 잘못된 결과가 난다` 형태로 실패 모드를 설명한다.
+- 수정 제안은 가장 작은 변경 단위로 제시한다.
+- 문제가 없으면 구현을 다시 설명하는 코멘트를 남기지 않는다.
+- 확신이 낮은 경우 단정하지 말고 어떤 전제가 맞을 때 문제가 되는지 명시한다.
+- 리뷰어 제안이 기존 동작, 호환성, 사용자 결정, YAGNI 원칙과 충돌할 수 있으면 무조건 수정하라고 하지 말고 확인 질문이나 근거 확인으로 표현한다.

.github/workflows/deploy-prod.yml

@@ -5,6 +5,10 @@ on:
     branches:
       - main
 
+permissions:
+  contents: read
+  id-token: write
+
 jobs:
   deploy:
     runs-on: ubuntu-latest
@@ -29,23 +33,6 @@ jobs:
           restore-keys: |
             gradle-${{ runner.os }}-
 
-      - name: Cache OpenTelemetry Java Agent
-        uses: actions/cache@0057852bfaa89a56745cba8c7296529d2fc39830 # v4
-        with:
-          path: ~/.cache/otel-java-agent
-          key: otel-agent-${{ runner.os }}-${{ vars.OTEL_JAVA_AGENT_VERSION }}-${{ vars.OTEL_JAVA_AGENT_SHA256 }}
-
-      - name: Prepare OpenTelemetry Agent
-        run: |
-          mkdir -p ~/.cache/otel-java-agent
-          if [ ! -f ~/.cache/otel-java-agent/opentelemetry-javaagent.jar ]; then
-            wget -O ~/.cache/otel-java-agent/opentelemetry-javaagent.jar \
-              "https://github.com/open-telemetry/opentelemetry-java-instrumentation/releases/download/v${{ vars.OTEL_JAVA_AGENT_VERSION }}/opentelemetry-javaagent.jar"
-          fi
-          # Verify checksum
-          echo "${{ vars.OTEL_JAVA_AGENT_SHA256 }}  $HOME/.cache/otel-java-agent/opentelemetry-javaagent.jar" | sha256sum -c -
-          cp ~/.cache/otel-java-agent/opentelemetry-javaagent.jar .
-
       - name: Grant execute permission for gradlew
         run: chmod +x gradlew
 
@@ -85,38 +72,60 @@ jobs:
           labels: ${{ steps.meta.outputs.labels }}
           cache-from: type=gha
           cache-to: type=gha,mode=max
-          build-args: |
-            OTEL_JAVA_AGENT_VERSION=${{ vars.OTEL_JAVA_AGENT_VERSION }}
 
-      - name: Backup prod MySQL before deploy
-        uses: appleboy/ssh-action@v1.2.0
+      - name: Configure AWS credentials
+        uses: aws-actions/configure-aws-credentials@ff717079ee2060e4bcee96c4779b553acc87447c # v4
         with:
-          host: ${{ secrets.DB_SERVER_IP }}
-          username: ${{ secrets.DB_SERVER_USER }}
-          key: ${{ secrets.DB_SERVER_SSH_KEY }}
-          port: ${{ secrets.DB_SERVER_PORT }}
-          script: |
-            set -euo pipefail
-            START_TIME=$(date +%s)
-
-            WORK_DIR="/home/ubuntu/konect/prod-db-compose"
-            MYSQL_CONTAINER="mysql-prod"
-
-            set -a
-            source "$WORK_DIR/.env"
-            set +a
-
-            BACKUP_DIR="$WORK_DIR/db-backups/"
-            mkdir -p "$BACKUP_DIR"
-
-            DUMP_FILE="$BACKUP_DIR/$(date '+%Y%m%d_%H%M%S').sql"
-            docker exec -e MYSQL_PWD="$MYSQL_PASSWORD" "$MYSQL_CONTAINER" \
-              mysqldump --no-tablespaces -u"$MYSQL_USERNAME" "$MYSQL_DATABASE" > "$DUMP_FILE"
-
-            find "$BACKUP_DIR" -type f -name '*.sql' -mtime +5 -delete
-
-            END_TIME=$(date +%s)
-            echo "Prod MySQL backup completed in $((END_TIME - START_TIME))s"
+          role-to-assume: ${{ secrets.AWS_ROLE_TO_ASSUME }}
+          aws-region: ${{ secrets.AWS_REGION }}
+
+      - name: Backup prod MySQL before deploy
+        env:
+          DB_INSTANCE_ID: ${{ secrets.DB_INSTANCE_ID }}
+        run: |
+          set -euo pipefail
+
+          COMMAND_ID=$(aws ssm send-command \
+            --instance-ids "$DB_INSTANCE_ID" \
+            --document-name "AWS-RunShellScript" \
+            --comment "KONECT prod MySQL backup before deploy" \
+            --parameters commands='[
+              "bash -lc '\''START_TIME=$(date +%s); bash /home/ubuntu/konect/prod-db-compose/backup-db.sh; END_TIME=$(date +%s); echo \"Prod MySQL backup completed in $((END_TIME - START_TIME))s\"'\''"
+            ]' \
+            --query "Command.CommandId" \
+            --output text)
+
+          set +e
+          aws ssm wait command-executed \
+            --command-id "$COMMAND_ID" \
+            --instance-id "$DB_INSTANCE_ID"
+          WAITER_EXIT=$?
+          set -e
+
+          BACKUP_STATUS=$(aws ssm get-command-invocation \
+            --command-id "$COMMAND_ID" \
+            --instance-id "$DB_INSTANCE_ID" \
+            --query "Status" \
+            --output text)
+
+          BACKUP_STATUS_DETAILS=$(aws ssm get-command-invocation \
+            --command-id "$COMMAND_ID" \
+            --instance-id "$DB_INSTANCE_ID" \
+            --query "StatusDetails" \
+            --output text)
+
+          BACKUP_RESPONSE_CODE=$(aws ssm get-command-invocation \
+            --command-id "$COMMAND_ID" \
+            --instance-id "$DB_INSTANCE_ID" \
+            --query "ResponseCode" \
+            --output text)
+
+          echo "Prod MySQL backup status: $BACKUP_STATUS (details: $BACKUP_STATUS_DETAILS, response-code: $BACKUP_RESPONSE_CODE)"
+
+          if [ "$WAITER_EXIT" -ne 0 ] || [ "$BACKUP_STATUS" != "Success" ] || [ "$BACKUP_RESPONSE_CODE" != "0" ]; then
+            echo "Prod MySQL backup failed. Remote stdout/stderr is intentionally not printed to avoid leaking sensitive information."
+            exit 1
+          fi
 
       - name: Deploy to prod server
         uses: appleboy/ssh-action@v1.2.0

.github/workflows/deploy-stage.yml

@@ -5,6 +5,10 @@ on:
     branches:
       - develop
 
+permissions:
+  contents: read
+  id-token: write
+
 jobs:
   deploy:
     runs-on: ubuntu-latest
@@ -29,23 +33,6 @@ jobs:
           restore-keys: |
             gradle-${{ runner.os }}-
 
-      - name: Cache OpenTelemetry Java Agent
-        uses: actions/cache@0057852bfaa89a56745cba8c7296529d2fc39830 # v4
-        with:
-          path: ~/.cache/otel-java-agent
-          key: otel-agent-${{ runner.os }}-${{ vars.OTEL_JAVA_AGENT_VERSION }}-${{ vars.OTEL_JAVA_AGENT_SHA256 }}
-
-      - name: Prepare OpenTelemetry Agent
-        run: |
-          mkdir -p ~/.cache/otel-java-agent
-          if [ ! -f ~/.cache/otel-java-agent/opentelemetry-javaagent.jar ]; then
-            wget -O ~/.cache/otel-java-agent/opentelemetry-javaagent.jar \
-              "https://github.com/open-telemetry/opentelemetry-java-instrumentation/releases/download/v${{ vars.OTEL_JAVA_AGENT_VERSION }}/opentelemetry-javaagent.jar"
-          fi
-          # Verify checksum
-          echo "${{ vars.OTEL_JAVA_AGENT_SHA256 }}  $HOME/.cache/otel-java-agent/opentelemetry-javaagent.jar" | sha256sum -c -
-          cp ~/.cache/otel-java-agent/opentelemetry-javaagent.jar .
-
       - name: Grant execute permission for gradlew
         run: chmod +x gradlew
 
@@ -85,38 +72,60 @@ jobs:
           labels: ${{ steps.meta.outputs.labels }}
           cache-from: type=gha
           cache-to: type=gha,mode=max
-          build-args: |
-            OTEL_JAVA_AGENT_VERSION=${{ vars.OTEL_JAVA_AGENT_VERSION }}
 
-      - name: Backup stage MySQL before deploy
-        uses: appleboy/ssh-action@v1.2.0
+      - name: Configure AWS credentials
+        uses: aws-actions/configure-aws-credentials@ff717079ee2060e4bcee96c4779b553acc87447c # v4
         with:
-          host: ${{ secrets.DB_SERVER_IP }}
-          username: ${{ secrets.DB_SERVER_USER }}
-          key: ${{ secrets.DB_SERVER_SSH_KEY }}
-          port: ${{ secrets.DB_SERVER_PORT }}
-          script: |
-            set -euo pipefail
-            START_TIME=$(date +%s)
-
-            WORK_DIR="/home/ubuntu/konect/stage-db-compose"
-            MYSQL_CONTAINER="mysql-stage"
-
-            set -a
-            source "$WORK_DIR/.env"
-            set +a
-
-            BACKUP_DIR="$WORK_DIR/db-backups/"
-            mkdir -p "$BACKUP_DIR"
-
-            DUMP_FILE="$BACKUP_DIR/$(date '+%Y%m%d_%H%M%S').sql"
-            docker exec -e MYSQL_PWD="$MYSQL_PASSWORD" "$MYSQL_CONTAINER" \
-              mysqldump --no-tablespaces -u"$MYSQL_USERNAME" "$MYSQL_DATABASE" > "$DUMP_FILE"
-
-            find "$BACKUP_DIR" -type f -name '*.sql' -mtime +5 -delete
-
-            END_TIME=$(date +%s)
-            echo "Stage MySQL backup completed in $((END_TIME - START_TIME))s"
+          role-to-assume: ${{ secrets.AWS_ROLE_TO_ASSUME }}
+          aws-region: ${{ secrets.AWS_REGION }}
+
+      - name: Backup stage MySQL before deploy
+        env:
+          DB_INSTANCE_ID: ${{ secrets.DB_INSTANCE_ID }}
+        run: |
+          set -euo pipefail
+
+          COMMAND_ID=$(aws ssm send-command \
+            --instance-ids "$DB_INSTANCE_ID" \
+            --document-name "AWS-RunShellScript" \
+            --comment "KONECT stage MySQL backup before deploy" \
+            --parameters commands='[
+              "bash -lc '\''START_TIME=$(date +%s); bash /home/ubuntu/konect/stage-db-compose/backup-db.sh; END_TIME=$(date +%s); echo \"Stage MySQL backup completed in $((END_TIME - START_TIME))s\"'\''"
+            ]' \
+            --query "Command.CommandId" \
+            --output text)
+
+          set +e
+          aws ssm wait command-executed \
+            --command-id "$COMMAND_ID" \
+            --instance-id "$DB_INSTANCE_ID"
+          WAITER_EXIT=$?
+          set -e
+
+          BACKUP_STATUS=$(aws ssm get-command-invocation \
+            --command-id "$COMMAND_ID" \
+            --instance-id "$DB_INSTANCE_ID" \
+            --query "Status" \
+            --output text)
+
+          BACKUP_STATUS_DETAILS=$(aws ssm get-command-invocation \
+            --command-id "$COMMAND_ID" \
+            --instance-id "$DB_INSTANCE_ID" \
+            --query "StatusDetails" \
+            --output text)
+
+          BACKUP_RESPONSE_CODE=$(aws ssm get-command-invocation \
+            --command-id "$COMMAND_ID" \
+            --instance-id "$DB_INSTANCE_ID" \
+            --query "ResponseCode" \
+            --output text)
+
+          echo "Stage MySQL backup status: $BACKUP_STATUS (details: $BACKUP_STATUS_DETAILS, response-code: $BACKUP_RESPONSE_CODE)"
+
+          if [ "$WAITER_EXIT" -ne 0 ] || [ "$BACKUP_STATUS" != "Success" ] || [ "$BACKUP_RESPONSE_CODE" != "0" ]; then
+            echo "Stage MySQL backup failed. Remote stdout/stderr is intentionally not printed to avoid leaking sensitive information."
+            exit 1
+          fi
 
       - name: Deploy to stage server
         uses: appleboy/ssh-action@v1.2.0