fix: 주최자·본인이 아닌데 토너먼트 상품 수정 페이지에 진입 가능

[iOdiO89]

버그 내용

토너먼트 담기 화면에서 주최자도 아니고 본인이 담은 상품도 아닌데 상품 수정 페이지에 들어갈 수 있다.

• 바스켓의 상품을 누르면 누구나 수정 페이지로 진입한다
• 진입 자체를 막고(클릭 비활성), 페이지에도 가드를 둔다

예상 결과

• 본인이 담은 상품이거나 주최자일 때만 상품이 클릭된다
• 직접 URL 로 진입해도 권한이 없으면 막힌다

참고

클릭 차단이 없다. READY 상태면 소유자와 무관하게 Link 로 감싼다.

app/tournament/[id]/create/_components/tournament-item-basket/TournamentItemBasket.tsx:79-92

if (item.status === 'READY') {
  return (
    <Link href={ROUTES.TOURNAMENT_ITEM_EDIT(tournamentId, item.tournamentItemId)}>
      <TournamentBasketItem ... />
    </Link>
  );
}

• 아이템에 userId 가 내려온다 (_common/_types/tournamentResponse.ts 의 TournamentPendingItemT)
• 주최자 여부는 tournamentData.isOwner, 본인 식별은 useGetMe 로 판단할 수 있다
• 참가자 프로필 매핑에 이미 participantImageMap 으로 userId 를 쓰고 있다

페이지 가드는 서버 응답에 의존하고 있다. app/tournament/[id]/item/[itemId]/layout.tsx 에 403 → redirect(HOME) 분기가 있지만, 서버가 조회는 열어두고 있어 실제로 걸리지 않는 것으로 보인다.

확인 필요

• 서버가 GET 은 허용하고 PATCH/DELETE 만 막는 구조인지 확인 필요. 그렇다면 클라에서 소유자·주최자 판단으로 가드해야 한다

[iOdiO89]

서버 반영 후 후속 작업 (클라이언트)

서버에 토너먼트 아이템 API(GET/PATCH/DELETE /api/v1/tournaments/{id}/items/{itemId}) 소유자 검증(주최자·아이템 등록자 외 403 + 신규 에러 코드)을 요청한 상태. 서버 반영 후 아래 작업이 필요하다.

• @piki/core 에러 코드 카탈로그 갱신 — 신규 코드(아이템 소유자 아님)를 ERROR_CODE·ERROR_MESSAGE_MAP에 등록 (문구 예: "내가 담은 아이템만 수정할 수 있어요")
• item/[itemId]/layout.tsx 가드에 코드 분기 추가 — 신규 코드면 담기 화면(TOURNAMENT_CREATE)으로 redirect. 기존 status === 403 → HOME 분기는 미등록 코드·인프라 403 대비 fallback으로 유지 (컨벤션: 동작은 status, code 분기는 2차 + else fallback)
• PATCH/DELETE 확인 — usePatchTournamentItem/useDeleteTournamentItem은 이미 403 처리(토스트 + 이동)가 있어 추가 코드 불필요. 문구는 카탈로그 등록 시 getApiErrorMessage로 자동 적용되는지만 확인
• (선택) e2e 케이스 추가 — 참여자가 남의 아이템 URL로 직접 진입 시 가드되는지

참고

• 클릭 차단(주최자·본인 아이템만 진입)은 8a3d962에 반영됨 — 서버와 무관하게 동작
• GET까지 막아야 하는 이유: 아이템 조회 응답에 memo(개인 메모)가 포함돼 참여자 간 노출 이슈