v1.10.88 품질·보안 개선과 미디어 카탈로그 database 전환을 반영한다.

세션·로그인 제한, ZIP/업로드 스트리밍, CSP 최소 강제와 Report-Only, Playwright 격리 검증을 추가하고 미디어 목록을 reconcile 후 database 모드로 고정한다.

Co-authored-by: Cursor <cursoragent@cursor.com>

server/utils/member-auth.js

@@ -1,5 +1,6 @@
 import { createHmac, timingSafeEqual } from 'node:crypto'
 import { createError, deleteCookie, getCookie, setCookie } from 'h3'
+import { isMemberSessionCurrent } from '../repositories/member-repository'
 import { getRuntimeEnvValue } from './runtime-env'
 import { shouldUseSecureSessionCookie } from './session-cookie'
 
@@ -51,13 +52,14 @@ const signPayload = (payload) => createHmac('sha256', getSessionSecret())
 
 /**
  * 회원 세션 토큰 생성
- * @param {{ userId: string, email: string }} user - 회원 정보
+ * @param {{ userId: string, email: string, sessionVersion?: number }} user - 회원 정보
  * @returns {string} 세션 토큰
  */
 export const createMemberSessionToken = (user) => {
   const payload = Buffer.from(JSON.stringify({
     userId: user.userId,
     email: user.email,
+    sessionVersion: Number.isInteger(user.sessionVersion) ? user.sessionVersion : 1,
     expiresAt: Date.now() + sessionMaxAge * 1000
   })).toString('base64url')
 
@@ -67,7 +69,7 @@ export const createMemberSessionToken = (user) => {
 /**
  * 회원 세션 토큰 검증
  * @param {string | undefined} token - 세션 토큰
- * @returns {{ userId: string, email: string } | null} 세션 정보
+ * @returns {{ userId: string, email: string, sessionVersion: number } | null} 세션 정보
  */
 export const verifyMemberSessionToken = (token) => {
   if (!token) {
@@ -94,14 +96,17 @@ export const verifyMemberSessionToken = (token) => {
 
   return {
     userId: session.userId,
-    email: session.email
+    email: session.email,
+    sessionVersion: Number.isInteger(session.sessionVersion) && session.sessionVersion > 0
+      ? session.sessionVersion
+      : 1
   }
 }
 
 /**
  * 회원 세션 쿠키 설정
  * @param {import('h3').H3Event} event - 요청 이벤트
- * @param {{ userId: string, email: string }} user - 회원 정보
+ * @param {{ userId: string, email: string, sessionVersion?: number }} user - 회원 정보
  * @returns {void}
  */
 export const setMemberSession = (event, user) => {
@@ -128,17 +133,38 @@ export const clearMemberSession = (event) => {
 /**
  * 회원 세션 조회
  * @param {import('h3').H3Event} event - 요청 이벤트
- * @returns {{ userId: string, email: string } | null} 세션 정보
+ * @returns {{ userId: string, email: string, sessionVersion: number } | null} 세션 정보
  */
 export const getMemberSession = (event) => verifyMemberSessionToken(getCookie(event, memberSessionCookieName))
 
+/**
+ * DB 세션 버전까지 확인한 회원 세션을 조회한다.
+ * @param {import('h3').H3Event} event - 요청 이벤트
+ * @returns {Promise<{ userId: string, email: string, sessionVersion: number } | null>} 현재 세션 정보
+ */
+export const getVerifiedMemberSession = async (event) => {
+  const session = getMemberSession(event)
+
+  if (!session) {
+    return null
+  }
+
+  const isCurrent = await isMemberSessionCurrent(session.userId, session.sessionVersion)
+  if (!isCurrent) {
+    clearMemberSession(event)
+    return null
+  }
+
+  return session
+}
+
 /**
  * 회원 세션 필수 확인
  * @param {import('h3').H3Event} event - 요청 이벤트
- * @returns {{ userId: string, email: string }} 세션 정보
+ * @returns {Promise<{ userId: string, email: string, sessionVersion: number }>} 세션 정보
  */
-export const requireMemberSession = (event) => {
-  const session = getMemberSession(event)
+export const requireMemberSession = async (event) => {
+  const session = await getVerifiedMemberSession(event)
 
   if (!session) {
     throw createError({