- 인증번호 재발송 제한 메시지 개선 - 남은 초 표시 추가

- 비밀번호 확인 필드명 일괄 변경(password2 → confirmPassword)
- 법인 관리자 탈퇴 제한 경고 메시지 추가 및 관련 로직 수정
- 임시 비밀번호 발급 시 기존 비밀번호 이력 저장 로직 추가

src/main/java/com/eactive/apim/portal/apps/auth/service/AuthNumberServiceImpl.java

@@ -10,6 +10,7 @@ import org.springframework.beans.factory.annotation.Value;
 import org.springframework.stereotype.Service;
 import org.springframework.transaction.annotation.Transactional;
 
+import java.time.Duration;
 import java.time.LocalDateTime;
 
 @Service
@@ -104,9 +105,15 @@ public class AuthNumberServiceImpl implements AuthNumberService {
     private void validateResendTime(String recipientKey) {
         storage.getAuthNumber(recipientKey).ifPresent(existingAuth -> {
             LocalDateTime now = LocalDateTime.now();
-            if (existingAuth.getExpiresAt().minusSeconds(authNumberExpirationTime)
-                .plusSeconds(resendLimitSeconds).isAfter(now)) {
-                throw new AuthNumberException("잠시 후에 다시 시도해 주세요.");
+            LocalDateTime resendAvailableAt = existingAuth.getExpiresAt()
+                .minusSeconds(authNumberExpirationTime)
+                .plusSeconds(resendLimitSeconds);
+            if (resendAvailableAt.isAfter(now)) {
+                long remainingMillis = Duration.between(now, resendAvailableAt).toMillis();
+                long remainingSeconds = Math.max(1L, (remainingMillis + 999L) / 1000L);
+                throw new AuthNumberException(
+                    String.format("인증번호 재발송 제한이 적용 중입니다. %d초 후 다시 시도해 주세요.",
+                        remainingSeconds));
             }
         });
     }

src/main/java/com/eactive/apim/portal/apps/user/controller/UserRegisterRestController.java

@@ -35,8 +35,8 @@ public class UserRegisterRestController {
     }
 
     @PostMapping("/check_password_match")
-    public ResponseEntity<ValidationResponse> checkPasswordMatch(@RequestParam String password, @RequestParam String password2) {
-        return ResponseEntity.ok(userRegisterFacade.checkPasswordMatch(password, password2));
+    public ResponseEntity<ValidationResponse> checkPasswordMatch(@RequestParam String password, @RequestParam String confirmPassword) {
+        return ResponseEntity.ok(userRegisterFacade.checkPasswordMatch(password, confirmPassword));
     }
 
     @PostMapping("/register/confirm_password")

src/main/java/com/eactive/apim/portal/apps/user/dto/PortalUserRegistrationDTO.java

@@ -10,7 +10,7 @@ import org.hibernate.validator.constraints.NotEmpty;
 
 
 @AuthNumberMatch(recipient = "loginId", authField = "authNumber")
-@PasswordMatch(input = "password", confirm = "password2")
+@PasswordMatch(input = "password", confirm = "confirmPassword")
 @Data
 @PasswordRule(password = "password", loginId = "loginId", mobile = "mobileNumber")
 public class PortalUserRegistrationDTO {
@@ -31,8 +31,6 @@ public class PortalUserRegistrationDTO {
      */
     private String password;
 
-    private String password2;
-
     @CellPhone
     private String mobileNumber;
 

src/main/java/com/eactive/apim/portal/apps/user/facade/UserFacadeImpl.java

@@ -140,11 +140,11 @@ public class UserFacadeImpl implements UserFacade {
     public void withdrawUser(String userId, String withdrawalReason) {
         PortalUser user = portalUserService.findById(userId);
 
-        // 법인 관리자 탈퇴 제한
+        // 법인 관리자는 권한 이관 전 탈퇴할 수 없다.
         if (user.getRoleCode() == PortalUserEnums.RoleCode.ROLE_CORP_MANAGER) {
-            if(portalUserService.checkOrgHasOtherUsers(user.getPortalOrg())){
-                throw new IllegalArgumentException("법인 관리자권한을 다른 개발자에게 위임하신 후 탈퇴가 가능합니다.");
-            }
+            throw new IllegalArgumentException(
+                "법인 관리자는 회원 탈퇴를 할 수 없습니다. "
+                    + "관리자 권한을 다른 사용자에게 이관하거나 담당자에게 연락해 주세요.");
         }
 
         // 약관 동의 정보 삭제

src/main/java/com/eactive/apim/portal/apps/user/facade/UserRegisterFacade.java

@@ -19,7 +19,7 @@ public interface UserRegisterFacade {
 
     ValidationResponse checkPassword(String password, String loginId, String mobileNumber);
 
-    ValidationResponse checkPasswordMatch(String password, String password2);
+    ValidationResponse checkPasswordMatch(String password, String confirmPassword);
 
     ValidationResponse verifyPassword(String loginId, String confirmPassword);
 

src/main/java/com/eactive/apim/portal/apps/user/facade/UserRegisterFacadeImpl.java

@@ -94,8 +94,8 @@ public class UserRegisterFacadeImpl implements UserRegisterFacade {
     }
 
     @Override
-    public ValidationResponse checkPasswordMatch(String password, String password2) {
-        boolean isMatch = password.equals(password2);
+    public ValidationResponse checkPasswordMatch(String password, String confirmPassword) {
+        boolean isMatch = password.equals(confirmPassword);
         String message = isMatch ? "비밀번호가 일치합니다." : "비밀번호가 일치하지 않습니다.";
         return new ValidationResponse(isMatch, message);
     }

src/main/java/com/eactive/apim/portal/apps/user/service/PasswordService.java

@@ -85,6 +85,17 @@ public class PasswordService {
         return result;
     }
 
+    /**
+     * {@link #updatePassword} 를 거치지 않고 비밀번호 해시를 직접 바꾸는 지점(예: 비밀번호 초기화로
+     * 임시 비밀번호 발급 — PortalUserAuthService.resetPassword)이 <b>덮어쓰기 직전</b>에 호출해,
+     * 지금 버려지는 비밀번호를 이력에 남긴다. 이걸 빼먹으면 재사용 금지(최근 5회) 검증이 그 비밀번호를
+     * 전혀 모른 채로 남아 있어, 초기화 이후 바로 예전 비밀번호로 되돌리는 게 허용되는 보안 허점이 된다.
+     */
+    @Transactional
+    public void recordExternalPasswordChange(String userId, String previousPasswordHash) {
+        savePasswordHistory(userId, previousPasswordHash);
+    }
+
     private void checkPasswordHistory(String userId, String newPassword) {
         List<UserPasswordHistory> passwordHistories = passwordHistoryRepository.findRecentPasswordsByUserId(userId);
 

src/main/java/com/eactive/apim/portal/apps/user/service/PortalUserAuthService.java

@@ -56,6 +56,7 @@ public class PortalUserAuthService implements UserDetailsService {
     private final MessageRequestRepository messageRequestRepository;
     private final EncryptionUtil encryptionUtil;
     private final LoginFinalizer loginFinalizer;
+    private final PasswordService passwordService;
 
     @Override
     @Transactional(noRollbackFor = UsernameNotFoundException.class)
@@ -164,6 +165,10 @@ public class PortalUserAuthService implements UserDetailsService {
                 .orElseThrow(() -> new UserNotFoundException("일치하는 사용자 정보를 찾을 수 없습니다."));
 
         String tempPassword = EncryptionUtil.generateNewPassword();
+        // 지금 버려지는(임시 비밀번호로 교체되는) 비밀번호를 이력에 남긴다 — 안 남기면 재사용 금지
+        // (최근 5회) 검증이 이 비밀번호를 모른 채로 남아, 초기화 직후 바로 예전 비밀번호로 되돌리는
+        // 것이 허용되는 보안 허점이 생긴다.
+        passwordService.recordExternalPasswordChange(portalUser.getId(), portalUser.getPasswordHash());
         portalUser.setPasswordHash(passwordEncoder.encode(tempPassword));
         // 임시 비밀번호 발급 → 변경일을 null 로 초기화해 로그인 시 강제 비밀번호 변경을 유도한다
         // (LoginFinalizer.applyPostLoginState 의 passwordChangeDate == null 분기)

src/main/resources/templates/views/apps/mypage/updateCorporateManager.html

@@ -754,15 +754,15 @@
         if (withdrawalBtn) {
           withdrawalBtn.addEventListener('click', (e) => {
             e.preventDefault();
-            customPopups.showWithdrawal();
+            customPopups.showAlert(
+              '법인 관리자는 회원 탈퇴를 할 수 없습니다.<br>' +
+              '관리자 권한을 다른 사용자에게 이관하거나 담당자에게 연락해 주세요.'
+            );
           });
         }
       });
     </script>
   </th:block>
-  <section layout:fragment="pagePopups">
-    <th:block th:replace="~{fragment/popup/withdrawalPopup :: withdrawalPopup}"></th:block>
-  </section>
 </body>
 
-</html>
+</html>

src/main/resources/templates/views/apps/register/components/newUserInfoForm.html

@@ -110,7 +110,7 @@
           비밀번호 확인 <span class="required-badge">필수</span>
         </label>
         <div class="org-form-input-wrapper">
-          <input type="password" name="password2" id="password2" class="org-form-input"
+          <input type="password" name="confirmPassword" id="confirmPassword" class="org-form-input"
             th:placeholder="#{portalUser.Register.passConfirm}">
           <input type="hidden" name="isPasswordMatch" id="isPasswordMatch" />
           <div id="password-match-validation" class="org-validation-message"></div>
@@ -411,9 +411,9 @@
       });
 
       // 비밀번호 확인 검증
-      $('#password2').on('blur', function () {
-        let password2 = $(this).val();
-        if (!password2) {
+      $('#confirmPassword').on('blur', function () {
+        let confirmPassword = $(this).val();
+        if (!confirmPassword) {
           return;
         }
 
@@ -422,7 +422,7 @@
           type: 'POST',
           data: {
             password: $('#password').val(),
-            password2: password2,
+            confirmPassword: confirmPassword,
             _csrf: $('input[name="_csrf"]').val()
           },
           success: function (response) {

src/main/resources/templates/views/apps/register/orgUserRegister.html

@@ -136,7 +136,7 @@
         // 시나리오별 필수 필드 정의
         const requiredFieldsByScenario = {
           new: {
-            user: ['loginId', 'userName', 'password', 'password2', 'mobileNumber', 'authNumber'],
+            user: ['loginId', 'userName', 'password', 'confirmPassword', 'mobileNumber', 'authNumber'],
             org: ['compRegNo', 'corpRegNo', 'orgName', 'compRegFile', 'files']
           },
           retain: {
@@ -228,6 +228,9 @@
           });
 
           // Add confirmPassword manually based on the scenario
+          // (new 시나리오는 #confirmPassword 필드 자체가 있어 위 공통 user 필드 루프가 그대로 처리한다.
+          //  서버는 시나리오 무관하게 confirmPassword 단일 필드로 비밀번호 확인을 검증한다 —
+          //  OrgRegisterFacadeImpl.registerNewOrgUser 참고.)
           if (registrationScenario === 'retain') {
             const passwordConfirmIndividual = document.getElementById('passwordConfirmIndividual');
             if (passwordConfirmIndividual) {