fix(core): 패스키 검증 실패 401(2701)이 토큰 만료로 처리되어 챌린지 무효(2700)로 가려진다 #2287

작업 유형

bug — 버그·오동작

주 담당 모듈

core — 코어

개요

패스키 등록에서 서버가 검증 실패(HTTP 401, code 2701)를 돌려주면 앱은 그 응답을 액세스 토큰 만료로 보고 재발급 뒤 같은 본문을 다시 보낸다. 서버는 첫 요청에서 이미 챌린지를 소비했으므로 두 번째 요청은 HTTP 400, code 2700(챌린지 만료·무효)으로 끝난다. 화면과 로그에는 2700 만 남고 실제 거절 사유인 2701 은 사라진다.

근거

• BE main PasskeyService.register 는 PasskeyChallengeService.consume 으로 챌린지를 Redis 에서 읽고 바로 지운 뒤 서명·origin 을 검증한다. 검증 실패는 PASSKEY_VERIFICATION_FAILED 로 HTTP 401, code 2701 이다. 지워진 챌린지로 다시 오면 code 2700 이다.
• FE TokenAuthenticator 는 fix(core): 현재 비밀번호 불일치 401이 토큰 만료로 처리되어 로그아웃된다 #2222 에서 1202 만 업무 오류로 뺐고 나머지 401 은 재발급·재시도한다. TokenAuthenticatorTest 는 2701 을 기존 갱신 경로 쪽 예시로 두고 있다. fix(core): 현재 비밀번호 불일치 401이 토큰 만료로 처리되어 로그아웃된다 #2222 본문 참고란이 이 경로를 "코드로만 확인했고 실측하지 않았다" 로 남겼다.
• 실측: PR fix(setting): 패스키 목록·등록 호출과 실패 처리를 연결한다 (#1944) #1927 QA 기록 d213a92…json (2026-09-06, 실서버, Android 15 에뮬레이터, KeePassDX 공급자). 새 options 를 받고 56초 뒤 등록을 제출했는데 /auth/reissue 200 다음에 /auth/passkey/register 가 400/2700 으로 끝났다. clientDataJSON 의 challenge 는 새 options 값과 같았다. 당시 BE 배포본(fcca1ffd)의 serverProperty 는 웹 origin 하나만 허용했고, Android apk-key-hash origin 허용은 BE#279(2026-09-09 머지)에서 들어왔다. 그래서 첫 응답은 origin 불일치로 2701 이었고, 재시도가 그것을 2700 으로 바꿨다고 보는 것이 코드와 관측에 맞는다.

부수 효과로 필요 없는 재발급이 일어나 리프레시 토큰이 한 번 회전한다.

완료 조건

• Bearer 요청의 401 응답 본문 code 가 2701 이면 재발급·재시도·세션 정리 없이 원래 응답을 호출부에 넘긴다. 1202 의 기존 처리와 같은 판별 경로를 쓴다.
• 토큰 거절 1000, 미확인 코드, 본문 없음·파싱 불가 401 은 지금처럼 재발급 경로를 탄다.
• TokenAuthenticatorTest 에서 2701 을 갱신 경로 예시에서 빼고, 업무 오류 쪽 단언(재발급 0회, clearSession() 0회, 원래 본문 보존)에 넣는다.

자식 이슈

참고

• 패스키 관리 목록이 자리표시자 1건 고정 — 등록된 패스키 미반영 #555 의 남은 완료 조건(실서버 등록 성공, 물리 기기 생체 QA)은 이 수정 뒤에 해야 실패 시 진짜 사유를 볼 수 있다. 패스키 관리 목록이 자리표시자 1건 고정 — 등록된 패스키 미반영 #555 에 이 이슈를 blocked_by 로 건다.
• 패스키 로그인(/auth/passkey/authenticate)의 2701 은 인증 전 요청이라 Bearer 가 없어 이미 재시도하지 않는다.

Generated by Claude Code