feat(api): 인증 기본 흐름 구현

[meteorqz6]

작업 내용

• Prisma 초기 migration 및 seed 추가
• Express 공통 error/validation 구조 추가
• Auth signup/login/logout/me 구현
• JWT access token, refresh token cookie, token_hash/revoked_at 처리

완료 기준

• Postman으로 signup/login/logout/me 동작 확인
• API/shared/database build 및 API lint 통과

[ehlung]

A+B 통합 정리로 develop의 guard/utils 작업을 auth 브랜치에 병합했고, 에러 처리는 HttpError + ERROR_CODES 기준으로 통일했습니다.

POST /auth/refresh는 refresh token rotation 정책 결정이 필요해서 팀 내 합의 후 이번 PR 포함 여부 또는 별도 작업 분리 여부를 정리하겠습니다.

[ehlung]

auth 마무리 작업 추가 반영했습니다.

• refresh token rotation 정리: 새 세션 발급 시 기존 활성 refresh token revoke 처리
• GET /auth/me를 공통 requireAuth 미들웨어 기반으로 정리
• POST /auth/refresh 구현 및 refresh cookie 재발급 처리
• API base path를 문서 계약과 맞춰 /api prefix 구조로 정리

검증:

• pnpm --filter @fragment/shared build
• pnpm --filter @fragment/database build
• pnpm --filter @fragment/api build
• pnpm --filter @fragment/api lint

[ehlung]

CodeRabbit 리뷰 대응 추가 반영했습니다.

• refresh token rotation을 조건부 consume 방식으로 정리해 동시 refresh 요청에서 한 요청만 성공하도록 보완
• logout도 동일한 consumeRefreshToken 흐름을 사용하도록 정리
• cookie 기반 logout/refresh 요청에 Origin/Referer 검증 미들웨어 추가
• WEB_APP_ORIGIN 비교 기준을 URL origin으로 정규화

검증:

• pnpm --filter @fragment/shared build
• pnpm --filter @fragment/database build
• pnpm --filter @fragment/api build
• pnpm --filter @fragment/api lint

[ehlung]

추가 리뷰 보완 반영했습니다.

• logout은 refresh rotation용 consume 로직에서 분리해 기존 유효성 검증 후 revoke 흐름으로 되돌림
• same-origin 검사에서 Origin/Referer 헤더 존재 여부와 파싱 실패를 구분하도록 보완
• Origin/Referer 없는 요청 허용은 로컬 Postman/curl 테스트용 임시 정책임을 TODO 주석으로 명시

검증:

• pnpm --filter @fragment/shared build
• pnpm --filter @fragment/database build
• pnpm --filter @fragment/api build
• pnpm --filter @fragment/api lint