BFF 환경에서 쿠키 프록시로 서드파티 쿠키 문제 해결하기

# Cross-Origin
https://myapp.com:443      
https://api.backend.com:443

# Cross-Origin
http://myapp.com:3000
http://myapp.com:8080

# Cross-Origin
http://myapp.com:3000
https://myapp.com:3000

# 백엔드가 발급한 쿠키 (그대로 전달 시)
Set-Cookie: refreshToken=eyJhbGci...; Domain=api.internal; SameSite=None; Secure; HttpOnly

# 브라우저 입장에서 본 쿠키의 출처 → api.internal
# 현재 브라우저가 접속 중인 도메인 → myapp.com
# ❌ 도메인 불일치 → 서드파티 쿠키 → 저장 거부 또는 전송 거부

/**
 * 로컬 개발 환경(HTTP)에서 브라우저가 쿠키를 거부하지 않도록 수정합니다.
 * 
 * 백엔드가 내려준 쿠키에는 Secure, SameSite=None 등이 붙어있을 수 있는데,
 * 이는 HTTP 로컬 환경에서 저장이 안 됩니다.
 */
export function rewriteCookieForLocal(cookie: string, isLocal: boolean): string {
  if (!isLocal) return cookie;

  return cookie
    .replace(/;\s*Secure\b/gi, '')           // Secure 속성 제거 (HTTP 환경)
    .replace(/;\s*SameSite=None/gi, '; SameSite=Lax')  // None → Lax로 완화
    .replace(/;\s*Domain=[^;]+/gi, '');      // 백엔드 Domain 제거 → BFF 도메인이 자동 적용
}

/**
 * 백엔드 응답의 모든 Set-Cookie 헤더를 Next.js 응답으로 복사합니다.
 * 이것이 "쿠키 프록시"의 핵심입니다.
 */
export function proxyCookies(
  backendResponse: Response,
  nextResponse: Response,
  isLocal: boolean,
): void {
  const cookies = backendResponse.headers.getSetCookie();
  cookies.forEach((cookie) => {
    const rewritten = rewriteCookieForLocal(cookie, isLocal);
    nextResponse.headers.append('set-cookie', rewritten); // BFF 도메인으로 재발급
  });
}

// middleware.ts
async function handleOAuthProxy(request: NextRequest) {
  const { pathname, search } = request.nextUrl;
  const isLocal = isLocalRequest(request);

  const backendResponse = await fetchBackend(`${pathname}${search}`, {
    method: 'GET',
    bffRequest: request,
    redirect: 'manual',
  });

  if (backendResponse.status >= 200 && backendResponse.status <= 299) {
    // 1. 백엔드 응답의 Set-Cookie에서 refreshToken 값을 직접 추출
    const setCookies = backendResponse.headers.getSetCookie();
    const refreshTokenEntry = setCookies.find((c) => c.startsWith('refreshToken='));
    const refreshTokenValue = refreshTokenEntry?.split(';')[0].split('=')[1];

    if (!refreshTokenValue) {
      return NextResponse.redirect(new URL('/login?error=missing_token', request.url));
    }

    // 2. refreshToken을 직접 주입해 accessToken 즉시 발급 (브라우저 왕복 없음)
    const refreshResponse = await fetchBackend('/api/auth/refresh', {
      method: 'POST',
      headers: { Cookie: `refreshToken=${refreshTokenValue}` },
      signal: AbortSignal.timeout(5000),
    });

    if (!refreshResponse.ok) {
      return NextResponse.redirect(new URL('/login?error=token_exchange_failed', request.url));
    }

    const body = await refreshResponse.json();
    const accessToken = body.data?.accessToken;

    // 3. 최종 목적지로 바로 리다이렉트 — 중간 경유지 없음
    const rawRedirect = request.cookies.get(REDIRECT_COOKIE_KEY)?.value;
    let redirectTo = '/';
    if (rawRedirect) {
      const decoded = decodeURIComponent(rawRedirect);
      if (isValidInternalPath(decoded)) redirectTo = decoded;
    }

    const res = NextResponse.redirect(new URL(redirectTo, request.url));

    // refreshToken 등 백엔드 쿠키 프록시
    proxyCookies(backendResponse, res, isLocal);

    // accessToken은 미들웨어가 직접 발급 → 확실한 퍼스트파티
    res.cookies.set('auth-token', accessToken, {
      path: '/',
      maxAge: 60 * 60 * 24 * 7,
      sameSite: 'lax',
      secure: !isLocal,
    });

    res.cookies.delete(REDIRECT_COOKIE_KEY);
    return res;
  }
  // ...
}

function buildBffHeaders(info: BffInfo, extra?: HeadersInit): Record<string, string> {
  return {
    ...extra,
    'X-BFF-Secret': info.bffSecret,   // BFF 인증 키
    'X-BFF-Host':   info.host,        // 실제 클라이언트 호스트 (예: myapp.com)
    'X-BFF-Proto':  info.proto,       // 실제 프로토콜 (https)
    'X-BFF-Port':   info.port,        // 실제 포트
    'X-Forwarded-Host':  info.host,
    'X-Forwarded-Proto': info.proto,
    'X-Forwarded-Port':  info.port,
  };
}

export function rewriteCookieForLocal(cookie: string, isLocal: boolean): string {
  if (!isLocal) return cookie; // 프로덕션은 그대로

  return cookie
    .replace(/;\s*Secure\b/gi, '')                   // Secure 제거
    .replace(/;\s*SameSite=None/gi, '; SameSite=Lax') // None → Lax
    .replace(/;\s*Domain=[^;]+/gi, '');               // 외부 Domain 제거
}

// 로컬 환경 판별
function isLocalRequest(request: NextRequest): boolean {
  const { hostname, protocol } = request.nextUrl;
  return hostname === 'localhost' || hostname === '127.0.0.1' || protocol === 'http:';
}