🟠[P1] fix(frontend): signOut does not clear connection cookie or localStorage — cross-user leak on shared device

[teddylee777]

컨텍스트 블록

Key	Value
Category	frontend
Checklist	ISS-UI-CRIT-02 — Client-side state leak between users on shared devices
Priority	P1 🟠
Scan Date	2026-04-16
Flagged By	@core-critique

요약

• WHAT: useAuth().signOut = () => signOut({ callbackUrl: \"/login\" }) — NextAuth 세션만 무효화, lg:connections/lg:chat:apiKey localStorage와 lg_apiUrl/lg_assistantId/lg_apiKey 쿠키는 그대로 유지
• WHY: 공용 PC/브라우저에서 사용자 A 로그아웃 후 사용자 B가 로그인하면 A의 연결 설정/API 키가 B에게 노출. LangSmith API 키는 결제 계정과 연결되어 있어 심각
• WHERE: frontend/src/features/auth/hooks/useAuth.ts:31, frontend/src/shared/components/settings/SettingsDialog.tsx:58-59 (유일한 cleanup은 수동 "Reset" 버튼에만 존재)
• SEVERITY: HIGH — 공용 디바이스 시나리오에서 API 키 유출

Evidence

#	File	Line	Finding	Flagged By	Confidence
1	frontend/src/features/auth/hooks/useAuth.ts	31	signOut: () => signOut({ callbackUrl: \"/login\" }) — 오직 NextAuth 세션만 종료, 클라이언트 저장소 미정리	@core-critique	High
2	frontend/src/shared/components/settings/SettingsDialog.tsx	58-59	localStorage.removeItem(\"lg:connections\"), localStorage.removeItem(\"lg:chat:apiKey\") — "Reset" 버튼 클릭 시에만 실행	@core-critique	High
3	frontend/src/app/actions.ts (추정) clearConnectionAction	—	서버 측 쿠키 정리 함수 존재 가능성 — signOut 경로에서 호출되지 않음	@core-critique	Medium

영향 분석

영향 범위

• 공용 PC/키오스크/도서관/학교 기기 사용자
• 한 명이 LangSmith API 키로 로그인한 기기를 다른 사람이 이어서 사용할 때
• 세션 자체는 종료되지만 연결 정보(apiUrl/apiKey/assistantId)는 다음 사용자에게 자동 반영

장애 시나리오

1. 사용자 A가 공용 기기에서 NextAuth 로그인, admin 콘솔에서 개인 LangSmith 키로 연결 설정
2. A가 로그아웃 (signOut) → NextAuth 세션 쿠키 삭제, BUT:
   • localStorage[\"lg:chat:apiKey\"]에 A의 API 키 잔존
   • lg_apiKey 쿠키(httpOnly)에 A의 API 키 잔존
3. 사용자 B가 같은 기기에 로그인
4. B의 브라우저가 A의 API 키를 그대로 사용하여 LangGraph 호출 → A 계정에 과금 + B가 A의 trace 데이터 접근 가능성

긴급도

• README가 "User status: active/pending/suspended"을 강조하지만 로그아웃 시 세션 정리만으로는 불충분
• 기업/기관 배포(공용 기기) 시나리오에서 즉시 문제 노출

제안 해결 방안

접근 방법

signOut 경로에 클라이언트/서버 양측 정리 로직 추가:

// frontend/src/features/auth/hooks/useAuth.ts
export function useAuth() {
  // ...
  const enhancedSignOut = async () => {
    // 클라이언트 저장소 정리
    if (typeof window !== \"undefined\") {
      localStorage.removeItem(\"lg:connections\");
      localStorage.removeItem(\"lg:chat:apiKey\");
    }
    // 서버 측 쿠키 정리 (server action)
    try {
      await clearConnectionAction();
    } catch { /* noop */ }
    // NextAuth 세션 종료
    await signOut({ callbackUrl: \"/login\" });
  };

  return { ..., signOut: enhancedSignOut };
}

clearConnectionAction이 없다면 frontend/src/app/actions.ts에 추가: lg_apiUrl, lg_assistantId, lg_apiKey 쿠키를 maxAge:0로 덮어쓰기.

대안

• Next.js middleware에서 정리: 가능하지만 NextAuth의 signOut 후 리디렉션 플로우와 어긋남
• 쿠키를 session 쿠키로만 설정: 브라우저 종료 시 삭제되지만 로그아웃 즉시 정리는 안됨
• 사용자에게 "Reset" 버튼 사용 권고: UX 신뢰도 낮음, 잊기 쉬움

수용 기준

• useAuth().signOut() 호출 시 localStorage의 lg:connections, lg:chat:apiKey 삭제
• lg_apiKey, lg_apiUrl, lg_assistantId 쿠키 무효화
• e2e: 로그인 → 연결 설정 → 로그아웃 후 DevTools에서 관련 저장소 비어있음 확인
• 테스트 커맨드: cd frontend && pnpm test

참조

• 관련 파일: frontend/src/features/auth/hooks/useAuth.ts, frontend/src/shared/components/settings/SettingsDialog.tsx, frontend/src/app/actions.ts
• Checklist 항목: ISS-UI-CRIT-02
• 관련 이슈: 🟠[P1] fix(security): NEXT_PUBLIC_LANGCHAIN_API_KEY exposed to browser bundle #58 (환경변수 노출), 🟠[P1] fix(api): getConnectionAction() missing requireAuth — LangGraph API key readable unauthenticated #67 (getConnectionAction 인증 누락)

재현 방법

사전 조건

• credentials 또는 OAuth 모드로 실행
• 2명의 테스트 사용자 계정

단계

1. 사용자 A로 로그인, admin 콘솔에서 apiKey 설정 후 저장
2. /api/auth/signout 또는 UI signOut 버튼으로 로그아웃
3. DevTools > Application > Storage 확인: localStorage, Cookies
4. 사용자 B로 로그인
5. B가 chat 페이지에 접근하면 어떤 연결 설정이 적용되는지 확인

기대 결과

로그아웃 후 모든 LangGraph 연결 관련 저장소 비어있음. B는 새 연결 설정 필요.

실제 결과

A의 apiKey/apiUrl가 localStorage + 쿠키에 잔존. B가 A의 연결로 자동 채팅 시작.

관련 코드 컨텍스트

File	Role	Relevance
frontend/src/features/auth/hooks/useAuth.ts	signOut 호출 지점	수정 대상
frontend/src/shared/components/settings/SettingsDialog.tsx	"Reset" 버튼에 기존 cleanup 로직 존재	참고 구현
frontend/src/app/actions.ts	서버 측 쿠키 관리	신규 clearConnectionAction 추가 대상
frontend/src/features/auth/components/UserMenu.tsx	signOut UI 트리거	연계 확인

---

Detected by oh-my-braincrew `omb:issue` scan
Category: frontend | Scan date: 2026-04-16
`omb-issue-scan category=frontend checklist=ISS-UI-CRIT-02`