260706_1_계정, 로그인, 보안 초안 작성

.agent/backend.md

@@ -101,3 +101,81 @@
   }
   ```
 * **마이그레이션 시기:** 사용자 수 증가 또는 실시간성 요구 시 적용
+
+---
+
+## 6. 로그인 및 인증 시스템 (Authentication & Authorization)
+
+### 6.1 이메일 기반 OTP 인증 (Email OTP)
+* **OTP 생성:** 6자리 난수 (000000~999999)
+* **저장 방식:** DB에 bcrypt/PBKDF2 해시값 저장 (평문 절대 금지)
+* **유효 시간:** 5분 (config에서 설정 가능)
+* **발송:** Google SMTP (개발) → AWS SES (상용화) 전환 예정
+* **재시도 로직:** 최대 3회 (지수 백오프: 2초, 4초, 8초)
+
+### 6.2 비밀번호 정책 (Password Policy)
+* **최소 길이:** 8자 이상
+* **권장 구성:** 대문자/소문자/숫자/특수문자 (강제 아님, Google 기준)
+* **해시 알고리즘:** bcrypt (라운드 12 이상) 또는 PBKDF2
+* **저장 방식:** 해시값만 DB에 저장 (평문 절대 금지)
+
+### 6.3 세션 관리 (Session Management) - 확정: Secure HttpOnly 세션 쿠키
+
+* **방식:** Secure HttpOnly 세션 쿠키 (JWT 아님)
+* **쿠키 이름:** `session_id`
+* **유효 시간:** 12시간
+* **Secure 플래그:** true (HTTPS만 전송)
+* **HttpOnly 플래그:** true (JavaScript 접근 불가)
+* **SameSite:** Lax (CSRF 방지)
+* **저장소:** MariaDB `sessions` 테이블
+* **활동 감지:** 마지막 요청으로부터 4시간 (파일 업로드 등 장시간 작업 고려)
+* **세션 만료 판정:**
+  ```python
+  if (current_time - last_activity_at > 4시간) or (current_time - created_at > 12시간):
+      → 세션 자동 만료
+  ```
+* **만료 처리:** 프론트엔드는 만료 5분 전 알림, 만료 후 모든 요청 거부 (401 Unauthorized)
+
+### 6.4 로그인 이력 기록 (Audit Log)
+* **기록 항목:**
+  - `user_id`, `email`, `login_timestamp`, `user_agent` (브라우저/OS), `status` (SUCCESS/FAILURE)
+* **보관 기간:** 1년 (자동 삭제)
+* **무차별 대입 방지:** 5회 이상 실패 시 계정 15분 잠금
+* **IP 주소:** 법적 이슈로 수집하지 않음 (권장)
+
+### 6.5 권한 체크 (Authorization)
+* **마스터 권한:**
+  - 팀원 목록 조회, 승인/거부, 내보내기
+  - 회사 정보 수정, 구독 관리
+  - 마스터 대시보드 접근
+* **팀원 권한:**
+  - 프로젝트 생성/수정/조회
+  - 워크플로우 실행 (B03~B09)
+  - 개인 프로필 수정
+* **시스템관리자 권한:**
+  - 모든 회사/사용자 데이터 접근 (슈퍼유저)
+  - 회사/사용자 생성/수정/삭제
+  - 관리자 대시보드 (모니터링, Q&A 관리)
+* **검증 방식:** 라우터 진입 전 JWT/토큰 검증, 필요시 데이터베이스에서 권한 확인
+
+### 6.6 3개월 주기 재인증 (Periodic Re-authentication)
+* **목적:** 재직 여부 확인 (퇴사자 자동 차단)
+* **방식:** 3개월마다 이메일 OTP 재인증 강제
+* **구현:** `users.last_email_verified_at` 컬럼으로 추적
+* **예외:** 새로운 기기에서 로그인 시 즉시 재인증 요구
+
+### 6.7 이메일 발송 (Email Infrastructure)
+* **SMTP 설정:**
+  - **개발:** Google Gmail SMTP (umsangdon@gmail.com)
+  - **상용화:** Google Workspace 또는 AWS SES로 전환
+* **발송 유형:**
+  - OTP 인증 코드
+  - 가입 확인 메일
+  - 팀원 가입 승인 요청 (마스터 수신)
+  - 팀원 승인/거부 결과
+  - 3개월 재인증 알림
+* **구현:** `common_util/common_util_email.py` 모듈
+  - 비동기 발송 (asyncio.create_task)
+  - 재시도 로직 (최대 3회)
+  - 템플릿 렌더링 (common_util_email_templates.py)
+* **자세한 내용:** `.agent/email_infrastructure_plan.md` 참고