Token Refresh

// 의사
// 공통 내부: refresh 토큰 교환 + 세션 재봉인. 실패는 swallow → boolean.
// 세션 파기(destroy)는 helper 가 하지 않고 호출자(BFF route)가 결정한다.
const applyAuth = async (session: Session, refreshToken: string): Promise<boolean> => {
  try {
    const auth = await backendRefresh(refreshToken);  // 5xx·네트워크 → throw
    session.accessToken = auth.accessToken;
    session.refreshToken = auth.refreshToken;
    // accessExpiresInSeconds(수명, 초) → 절대 시각 / refreshExpiresAt(ISO 절대시각) → epoch ms
    session.accessExpiresAt = computeAccessExpiresAt(auth.accessExpiresInSeconds);
    session.refreshExpiresAt = new Date(auth.refreshExpiresAt).getTime();
    session.accountId = auth.accountId;
    session.role = auth.role;
    await session.save();
    return true;
  } catch {
    return false;  // swallow — destroy 안 함
  }
};
 
// proactive: 만료 임박일 때만 교환. 불필요/refresh 토큰 없음 → 세션 그대로 반환 (throw X).
export const refreshIfNeeded = async (session: Session): Promise<Session> => {
  if (!accessIsLikelyExpired(session)) return session;
  if (!session.refreshToken) return session;
  await applyAuth(session, session.refreshToken);
  return session;
};
 
// reactive: backend 401 후 강제. 성공 여부만 boolean 으로 반환 (throw·destroy X).
export const forceRefresh = async (session: Session): Promise<boolean> => {
  if (!session.refreshToken) return false;
  return applyAuth(session, session.refreshToken);
};

// apps/admin/src/app/(protected)/layout.tsx
const ProtectedLayout = async ({ children }) => {
  const session = await getSession();
  if (!session.accessToken) redirect("/login");
 
  await refreshIfNeeded(session);              // proactive (세션 반환, throw X)
  if (!session.accessToken) redirect("/login");
 
  const fetchMe = () => backendMe(session.accessToken!);  // 시그니처: (accessToken: string)
  let me = null;
  try {
    me = await fetchMe();
  } catch (err) {
    if (err instanceof BackendCallError && err.status === 401) {
      // 늦게 잡힌 만료 — reactive refresh 1회 후 재호출
      if (await forceRefresh(session) && session.accessToken) {
        try { me = await fetchMe(); }
        catch { session.destroy(); redirect("/login"); }
      } else {
        session.destroy(); redirect("/login");  // 파기는 호출자 책임
      }
    }
    // 5xx·네트워크(비-401): shell 유지, 페이지 단에서 재시도
  }
  if (me?.passwordMustChange) redirect("/onboarding/change-password");
  // 운영사 셸은 단일 컴포넌트가 아니라 Topbar + Sidebar 조합 (apps/admin)
  return (
    <ToastHostProvider>
      <div data-surface="ops">
        <Topbar email={me?.email ?? null} name={me?.name ?? null} />
        <div>
          <Sidebar />
          <main>{children}</main>
        </div>
      </div>
    </ToastHostProvider>
  );
};