사요자 대시보드 추가

.agent/backend.md

@@ -124,7 +124,7 @@
 * **방식:** Secure HttpOnly 세션 쿠키 (JWT 아님)
 * **쿠키 이름:** `session_id`
 * **유효 시간:** 12시간
-* **Secure 플래그:** true (HTTPS만 전송)
+* **Secure 플래그:** true (HTTPS만 전송, 개발 환경 localhost에서는 false)
 * **HttpOnly 플래그:** true (JavaScript 접근 불가)
 * **SameSite:** Lax (CSRF 방지)
 * **저장소:** MariaDB `sessions` 테이블
@@ -135,6 +135,7 @@
       → 세션 자동 만료
   ```
 * **만료 처리:** 프론트엔드는 만료 5분 전 알림, 만료 후 모든 요청 거부 (401 Unauthorized)
+* **DB 풀 설정:** `autocommit=True` (pooled 커넥션의 트랜잭션 스냅샷 문제 방지 — 새 세션 INSERT 후 다른 커넥션에서 즉시 조회 가능)
 
 ### 6.4 로그인 이력 기록 (Audit Log)
 * **기록 항목:**
@@ -143,7 +144,26 @@
 * **무차별 대입 방지:** 5회 이상 실패 시 계정 15분 잠금
 * **IP 주소:** 법적 이슈로 수집하지 않음 (권장)
 
-### 6.5 권한 체크 (Authorization)
+### 6.4.1 사용자 상태 생명주기 (User Status Lifecycle)
+* **PENDING_EMAIL:** 회원가입 후 이메일 인증 전 (임시)
+* **NO_COMPANY:** 이메일 인증 완료, 회사 미연결 (로그인 가능, B02~B11 워크플로우 차단)
+* **PENDING:** 회사 참여 신청 후 마스터 승인 대기 (로그인 가능, B02~B11 워크플로우 차단)
+* **ACTIVE:** 회사 연결 완료, 모든 기능 접근 가능
+* **INACTIVE:** 퇴사/계정 휴활성화
+* **REJECTED:** 회사 참여 신청 거부
+
+### 6.5 회사 연결 필수화 (Mandatory Company Linking)
+* **접근 제어:**
+  - B02~B11 워크플로우 라우터에 `Depends(require_company)` 의존성 추가
+  - `session["company_id"] is None` 이면 403 Forbidden 반환 (`"회사 연결이 필요합니다."`)
+* **라우팅 가드 (프론트):**
+  - B02~B11 진입 시 `fetchSessionUser()` → `company_id` 확인
+  - 없으면 B01_ACCOUNT로 리다이렉트
+* **회사 생성/연결:**
+  - `POST /api/account/company/create`: 신규 회사 생성 후 사용자를 MASTER로 자동 연결 (status='ACTIVE')
+  - `POST /api/account/company/join`: 기존 회사 참여 신청 (status='PENDING', 마스터 승인 필요)
+
+### 6.6 권한 체크 (Authorization)
 * **마스터 권한:**
   - 팀원 목록 조회, 승인/거부, 내보내기
   - 회사 정보 수정, 구독 관리
@@ -158,22 +178,56 @@
   - 관리자 대시보드 (모니터링, Q&A 관리)
 * **검증 방식:** 라우터 진입 전 JWT/토큰 검증, 필요시 데이터베이스에서 권한 확인
 
-### 6.6 3개월 주기 재인증 (Periodic Re-authentication)
-* **목적:** 재직 여부 확인 (퇴사자 자동 차단)
-* **방식:** 3개월마다 이메일 OTP 재인증 강제
-* **구현:** `users.last_email_verified_at` 컬럼으로 추적
-* **예외:** 새로운 기기에서 로그인 시 즉시 재인증 요구
+### 6.7 로그인 기반 인증 갱신 (Login-based Auth Renewal)
+* **목적:** 활성 사용자의 인증 유지, 비활성 사용자 자동 차단
+* **방식:** 로그인 시 인증 유효 기간 자동 연장 (3개월)
+* **구현:** 
+  - `users.last_login` → 마지막 로그인 시간 업데이트
+  - `users.auth_expires_at` → 매 로그인 시 NOW() + 3개월로 설정
+* **인증 확인:**
+  - auth_expires_at > NOW() → 인증 유효 (바로 대시보드 이동)
+  - auth_expires_at <= NOW() → 재인증 모달 표시
+* **장점:**
+  - 활동적인 사용자: 지속적으로 인증 유지
+  - 휴면 사용자: 자동으로 재인증 요구
+  - 일관된 정책: 고정 3개월이 아닌 활동 기반 연장
 
-### 6.7 이메일 발송 (Email Infrastructure)
+### 6.8 역할 기반 접근 제어 (Role-Based Access Control)
+
+**사용자 역할 (users.role)**
+- `SYSTEM_ADMIN`: 시스템 관리자 (최고 권한)
+- `ADMIN`: 회사 관리자 (회사 내 관리권 한정)
+- `USER`: 일반 사용자
+
+**마스터 플래그 (users.is_master)**
+- `TRUE`: 회사 생성자 또는 ADMIN 역할 (팀원 승인/거부 권한)
+- `FALSE`: 일반 팀원
+
+**접근 제어 규칙:**
+
+| 기능 | SYSTEM_ADMIN | ADMIN | USER |
+|------|-------------|-------|------|
+| 전체 회사 조회 | ✅ | ✗ | ✗ |
+| 전체 사용자 조회 | ✅ | ✗ | ✗ |
+| 사용자 역할 변경 | ✅ | ✗ | ✗ |
+| 회사 생성 | ✅ | ✅ | ✅ |
+| 회사 팀원 관리 | ✅ | ✅ (자신 회사만) | ✗ |
+| 가입 요청 승인 | ✅ | ✅ (자신 회사만) | ✗ |
+| 시스템 로그 조회 | ✅ | ✗ | ✗ |
+| 프로젝트 생성 | ✅ | ✅ | ✅ |
+| 프로젝트 조회 | ✅ (전체) | ✅ (회사별) | ✅ (개인) |
+
+### 6.9 이메일 발송 (Email Infrastructure)
 * **SMTP 설정:**
   - **개발:** Google Gmail SMTP (umsangdon@gmail.com)
   - **상용화:** Google Workspace 또는 AWS SES로 전환
 * **발송 유형:**
   - OTP 인증 코드
   - 가입 확인 메일
-  - 팀원 가입 승인 요청 (마스터 수신)
-  - 팀원 승인/거부 결과
-  - 3개월 재인증 알림
+  - 팀원 가입 승인 요청 (ADMIN 수신)
+  - 팀원 승인/거부 결과 (사용자에게)
+  - 회사 참여 신청 알림 (SYSTEM_ADMIN 수신)
+  - 로그인 기반 인증 갱신 알림
 * **구현:** `common_util/common_util_email.py` 모듈
   - 비동기 발송 (asyncio.create_task)
   - 재시도 로직 (최대 3회)