Crowny Today 회원 인증 구현 (2026-07-17)

구현 내용

서버.한선 (/Users/ef/crowny-today/서버.한선)

• data/멤버.psv (id|pwhash|name|role|team): 부트스트랩 시 ERP 조직도 17명 + admin 계정 시드 (_멤버부트스트랩)
• POST /api/login {id, password}: 명부 대조(SHA256 해시) → 토큰 발급 {ok,token,id,name,role}. 토큰=id.SHA256(id+ts+rand+salt)
• GET /api/me: Bearer 토큰 검증 → {ok,id,name,role}
• 기존 API 전체(posts/todos/report/sync/briefing)에 Bearer 게이트 적용 (_인증확인). /health, OPTIONS, /, /api/login은 무인증.
• 게시물 생성 시 name을 클라이언트 JSON 대신 세션의 name으로 서버 강제 — 스푸핑 실측 차단 확인.
• data/세션.psv (token|id|role|name|ts), TTL 86400초(24h). 재기동 후에도 파일 기반이라 세션 유지.
• GET /: 토큰(Bearer 헤더 또는 crownyTodayToken 쿠키) 없으면 인라인 로그인 HTML, 있으면 /Users/ef/CrownyBrowser/bundle/today/app/index.html을 파일소켓전송으로 스트리밍(4.2MB, 16KB 캡 우회 — 플렉스서버.한선의 파일소켓전송 패턴 재사용).
• 신규 헬퍼: _한줄트림(한줄트림 builtin 미존재로 자체구현), _베어러(Authorization: Bearer 추출, 통합서버.한선 패턴), _비번해시/_토큰생성/_로그인처리/_세션조회/_인증확인.

브릿지 (/Users/ef/CrownyBrowser/bundle/today/bridge/todayBridge.js)

• LS_TOKEN/LS_NAME localStorage 키, getToken/setAuth/clearAuth
• showLoginOverlay(): 크림아이보리×다크초콜릿 톤 인라인 로그인 오버레이(아이디/비번) → /api/login → 토큰 저장 → 오버레이 제거 → hydrate/flush
• fetchWithTimeout가 모든 fetch에 Authorization: Bearer <token> 자동 첨부, 응답 401 감지 시 토큰 삭제+오버레이 재표시
• boot()에서 토큰 없으면 최초 로그인 오버레이 표시

검증 증거 (실측, curl 원문)

$ curl -s -o /dev/null -w "%{http_code}" http://127.0.0.1:9604/api/posts
401

$ curl -s -X POST http://127.0.0.1:9604/api/login -d '{"id":"E01","password":"aimed2026"}'
{"ok":true,"token":"E01.7482b3824d4615d26c7e64394d04de005e0b90a568cf0d8b47174147fc741504","id":"E01","name":"이선우","role":"admin"}

$ curl -s -X POST http://127.0.0.1:9604/api/login -d '{"id":"E05","password":"aimed2026"}'
{"ok":true,"token":"E05.5a78f7d33f78023b1ed2b09348f21024b9c0d3ab5011aa20b843de74cf57837a","id":"E05","name":"김민수","role":"member"}

$ curl -s -o /dev/null -w "wrongpw status=%{http_code}" -X POST http://127.0.0.1:9604/api/login -d '{"id":"E05","password":"WRONG"}'
wrongpw status=401

$ curl -s http://127.0.0.1:9604/api/me -H "Authorization: Bearer $TOKEN_E01"
{"ok":true,"id":"E01","name":"이선우","role":"admin"}

$ curl -s -o /dev/null -w "status=%{http_code}" http://127.0.0.1:9604/api/posts -H "Authorization: Bearer $TOKEN_E01"
status=200

$ curl -s -X POST http://127.0.0.1:9604/api/posts -H "Authorization: Bearer $TOKEN_E01" -d '{"type":"now","name":"홍길동(스푸핑시도)","text":"오늘 인증 테스트"}'
{"ok":true,"id":"P1784260591_2867"}
# 목록 재조회 → name:"이선우" (스푸핑 차단, 서버강제 확인)

# 재기동 후 세션 유지
$ launchctl unload/load org.crowny.today.plist
$ curl -s http://127.0.0.1:9604/api/me -H "Authorization: Bearer $TOKEN_E01"
{"ok":true,"id":"E01","name":"이선우","role":"admin"}

# 게이트웨이(https://today.crowny.org) 경유
$ curl -s -o /dev/null -w "health status=%{http_code}" https://today.crowny.org/health
health status=200
$ curl -s -X POST https://today.crowny.org/api/login -d '{"id":"E05","password":"aimed2026"}'
{"ok":true,"token":"E05.60c192a0e7099ad625d98016bc3ecac08f7d260bc51490f6221616a861d79799","id":"E05","name":"김민수","role":"member"}
$ curl -s -o /dev/null -w "status=%{http_code}" https://today.crowny.org/api/posts -H "Authorization: Bearer $TOKEN_GW"
status=200
$ curl -s -X POST https://today.crowny.org/api/posts -H "Authorization: Bearer $TOKEN_GW" -d '{"type":"now","name":"스푸핑","text":"게이트웨이 경유 인증 검증"}'
{"ok":true,"id":"P1784260668_1126"}
$ curl -s -o /dev/null -w "status=%{http_code}" https://today.crowny.org/api/posts
status=401

잔여 이슈