SignupOperation#team_signup — missing federated user check

RCA Summary#

nswgov 테넌트의 초대받은 사용자 matthew.smith479@det.nsw.edu.au가 POST /api/v1/signups/team 엔드포인트를 통해 팀 초대를 수락하는 과정에서, SignupOperation.team_signup이 user.active_state!를 호출하여 after_update :update_cognito_user 콜백이 트리거되었습니다. 이 콜백은 Cupix::Aws::Cognito.update_user!를 호출했으나, 해당 사용자가 Cognito user pool에 존재하지 않아 user_exists? 체크에서 false를 반환하고 아무 작업 없이 early return했습니다. 그럼에도 Ruby의 begin/rescue/else 구조 특성상 예외가 발생하지 않았으므로 else 블록이 실행되어 "User updated in Cognito"라는 잘못된 성공 로그가 기록되었습니다. 이후 change_password가 호출되었을 때, 사용자가 Cognito에 실제로 존재하지 않으므로 AWS SDK가 UserNotFoundException ("User does not exist.")을 반환하여 HTTP 500 에러가 발생했습니다. 근본 원인은 초대(invited) 상태의 사용자에 대해 Cognito 사용자가 생성되지 않은 상태에서 비밀번호 변경을 시도한 것이며, change_password 호출 전에 Cognito 사용자 존재 여부를 확인하거나 생성하는 로직이 없다는 점입니다.

Scoring#

Confidence 85% · Actionability 28%

Confidence#

Actionability#