AI로 구현하기

# 과제: 쏠브(Solve) 제휴사 연동 구현

## 우리 환경 (채워서 사용)
- 언어/프레임워크:
- 로그인 방식: ⓐ 자격증명 API / ⓑ 호스팅 로그인 페이지 (소셜 로그인이 하나라도 있으면 ⓑ)
- 회원 테이블과 불변 회원번호 컬럼:
- 구매(주문) 테이블과 "현재 이용 가능" 판정 기준(환불·만료 제외):

## 배경
쏠브는 전자책 학습 앱이다. 우리 사이트에서 책을 산 회원이 쏠브 앱에서 우리 계정으로 로그인하면,
쏠브 서버가 우리 API 를 호출해 구매 목록을 받아 책장에 책을 넣는다.
**쏠브가 호출하는 쪽이고, 우리가 API 를 구현하는 쪽**이다.
전체 규약 원문: https://developers.solve.im/llms-full.txt (필요하면 읽어라)

## 구현할 것
1. 로그인 (둘 중 하나)
   ⓐ 자격증명 로그인 API — POST, JSON 요청 {"id": string, "password": string}
      - 성공: 200 {"user_key": string}
      - 아이디·비밀번호 불일치: 4xx (쏠브 앱이 "비밀번호 불일치"로 안내, 재시도 안 함)
      - 서버 오류: 5xx (쏠브가 최대 2번 재시도)
   ⓑ 호스팅 로그인 페이지 — 쏠브 앱 웹뷰가 우리 "쏠브 전용 로그인 URL"을 쿼리 파라미터 없이 연다
      - 회원이 로그인에 성공하면 우리 **서버에서** 쏠브 콜백 호출:
        POST {SOLVE_CALLBACK_URL} JSON {"id": string, "platform_type": number}
        헤더 Authorization: Bearer {SOLVE_CALLBACK_SECRET} (쏠브 발급, 401 이면 재시도 금지)
      - 응답 200 {"redirect_url": string} → 같은 웹뷰에서 그 URL 로 302 이동 (새 창·외부 브라우저 금지, URL 수정 금지 — 서명 포함)
      - 소셜 로그인으로 외부에 다녀오는 경우 세션에 "쏠브 연동 중" 표시를 유지했다가 완료 시 콜백
      - SOLVE_CALLBACK_URL, SOLVE_PLATFORM_TYPE, SOLVE_CALLBACK_SECRET 은 쏠브가 전달하는 값 → 환경변수로
2. 구매내역 API — POST, JSON 요청 {"user_key": string}
   - 200 {"item_list": [{"item_code": string, "item_name": string(선택)}]}
   - 선택 필드 (v1.1, 없어도 된다 — v1.0 대로 구현한 응답은 수정 없이 유효): 항목마다 price · paid_at · valid_from · valid_until 을 더 담을 수 있다
     · price: 0 이상 정수(숫자) 또는 숫자만으로 된 문자열(1~12자리), 원 단위
     · paid_at: ISO 8601. 오프셋(Z, +09:00)이 있으면 그대로, 없으면 한국 시간(+09:00), 날짜만이면 그날 00:00 한국 시간
     · valid_from, valid_until: 1~32자 문자열 (쏠브는 해석하지 않고 그대로 기록)
     · 형식이 틀리면 그 필드만 무시한다 (책 지급에는 영향 없음)
     · price 를 안 보내거나 0 이면 파트너 어드민에 등록한 가격으로 정산한다
     · valid_until 이 지나도 책은 자동으로 빠지지 않는다 — 회수는 목록에서 빼는 것뿐이다
   - **현재 이용 가능한 구매만** 담는다. 환불·만료는 뺀다
   - 구매가 없거나 회원이 없으면 200 {"item_list": []}
   - 조회 실패·장애는 반드시 5xx. 예외를 삼키고 200 을 보내지 마라 (일부만 조회된 목록이면 빠진 책이 회수된다)
   - 페이지네이션 없이 한 번에 전부
3. 공통
   - HTTPS, Content-Type: application/json, 10초 안에 응답 (쏠브 타임아웃 10초)
   - 쏠브는 우리가 발급한 시크릿을 헤더에 담아 보낸다. 헤더 이름은 우리가 정한다 (기본값: X-Solve-Secret)
   - 시크릿은 환경변수로 두고(비어 있으면 서버 시작 실패) 상수 시간 비교로 확인, 불일치면 `401` 또는 `403`
   - 쏠브는 `401` 과 `403` 을 구분하지 않고 같은 인증 실패로 처리한다 (둘 다 재시도 없음)
   - 같은 요청이 재시도로 여러 번 와도 데이터가 바뀌면 안 된다 (조회 전용)
   - 응답 본문은 1MB(1,048,576바이트) 이하. 쏠브는 1MB 를 넘는 응답을 받지 않는다 (넘으면 그 호출은 실패, 재시도 없음 — 구매내역이면 기존 책장 유지). 구매내역·ⓐ 로그인 모두 해당, 필요한 필드만 담는다

## 반드시 지킬 것 (틀리기 쉬움)
- user_key(ⓑ 의 id)는 **절대 바뀌지 않는 내부 회원번호**. 로그인 아이디·이메일·소셜 계정 ID 금지
- 탈퇴 회원의 user_key 를 다른 회원에게 재사용 금지
- item_code 는 상품 단위 코드이며, 쏠브 파트너 어드민에 입력한 "연동코드"와 같아야 한다. 쏠브는 item_code 의 앞뒤 공백을 떼고 비교하고, 그 밖은 대소문자까지 글자 그대로 같아야 한다 (연동코드 앞뒤에 공백을 넣지 않는다)
- 비밀번호·시크릿을 로그에 남기지 않는다
- 예외를 삼키고 200 을 보내지 않는다

## 결정 기본값 (모호하면 이렇게)
- 엔드포인트 경로: POST /solve/login (ⓐ), POST /solve/purchases
- 아이디·비밀번호 불일치 401, 시크릿 불일치 `401` 또는 `403` (기본은 403), 요청 형식 오류 400, 그 외 예외 500
- 에러 응답 본문: {"error": "<snake_case 코드>"}

## 산출물
1. 위 API 구현 코드 (기존 회원·주문 코드를 찾아서 재사용)
2. 테스트: 구매 회원 200, 없는 회원 200+빈 배열, 환불 상품 제외, 틀린 시크릿 `401` 또는 `403`, DB 오류 500
   (ⓐ 는 맞는/틀린 비밀번호도)
3. 쏠브가 보낼 요청을 재현하는 curl 명령
4. 쏠브에 전달할 값 목록: 각 URL, 시크릿 헤더 이름, 테스트 계정
5. 구현 뒤 `solve-selfcheck.mjs`(https://developers.solve.im/tools/solve-selfcheck.mjs)로 확인한다 — `--init` 으로 설정 틀을 만들고 값을 채워 실행하며, FAIL 이 0개일 때까지 고친다 (ⓑ 는 `solve-callback-mock.mjs` 로 콜백을 시험)

작업 전에 우리 코드베이스에서 회원·구매 관련 코드를 먼저 찾아보고, 구현 계획을 짧게 보여준 뒤 진행해라.