v0.1.48 - 인증 메일 재전송과 TODO 정리

HANDOFF.md

@@ -4,7 +4,7 @@
 
 - 프로젝트명: 10 Minute Planner 웹 UI
 - 기술 스택: Vue 3 + Vite + TailwindCSS + JavaScript
-- 현재 기준 버전: `v0.1.45` 준비 중
+- 현재 기준 버전: `v0.1.48` 준비 중
 - Git 원격 저장소: `https://git.sori.studio/zenn/planner.sori.studio.git`
 
 ## 기준 디자인
@@ -196,7 +196,7 @@
 - 모바일 대응 이후 인쇄에서 `TIME TABLE`이 사라지던 문제를 막기 위해, print 시에는 `PlannerPage` 내부 레이아웃을 다시 가로 배치로 고정하고 타임테이블 오버플로를 해제하도록 보정했다.
 - 인쇄 레이아웃은 추가로 미세 조정해 `COMMENT` 영역이 잘리지 않도록 textarea 높이/행간을 print 전용으로 풀고, `1-UP` / `2-UP` 배율도 프레임 실측 기준으로 다시 계산했다.
 - `TODO.md`는 중복 체크 항목을 정리했고, 인증 확장을 위해 `이메일 인증 / 비밀번호 재설정 / rate limit / 메일 인프라` 작업을 별도 항목으로 추가했다.
-- Resend 무료 플랜은 도메인 1개 제약이 있어 현재 프로젝트 인증 메일에는 바로 쓰기 어렵다. 다음 단계에서는 AWS SES 또는 범용 SMTP 공급자 기준으로 메일 발송 추상화를 붙이는 쪽이 적합하다.
+- 메일 발송은 현재 Resend 기준으로 운영한다. 도메인 정책이나 플랜 조건이 실제 운영과 어긋나는 시점이 오면 그때 대체 수단을 재검토한다.
 - 현재 인증 메일/재설정 메일은 실제 발송 대신 개발용 `previewUrl`을 응답으로 돌려주는 단계다. 프론트 UI 연결과 실제 메일러 연결은 다음 단계에서 마무리하면 된다.
 - 미니 달력 날짜 버튼은 원형 비율이 흔들리지 않도록 고정 `width/height` 기준으로 다시 맞췄다.
 - 플래너 본문 D-DAY 텍스트는 3줄까지만 보이고, 넘치면 말줄임 처리되도록 정리했다.
@@ -223,15 +223,20 @@
 - 왼쪽 사이드바의 인쇄 영역은 `PRINT` 버튼 하나로 줄이고, 클릭 시 모달에서 시작일/종료일과 `1페이지씩` 또는 `2페이지씩` 출력 방식을 선택한다. 인쇄 전용 렌더링은 선택 기간의 날짜를 순서대로 여러 장 생성하며, 2페이지씩 출력에서 홀수 날짜가 남으면 오른쪽은 빈 페이지 프레임으로 둔다.
 - 회원가입과 프로필 수정 시 이메일뿐 아니라 닉네임 중복도 서버에서 409로 막는다. 비밀번호 재설정 API는 로그인 모달의 `비밀번호 찾기` 흐름과 연결되어 있고, `/reset-password?token=...` URL로 들어오면 새 비밀번호 설정 모드가 열린다. 실제 메일 발송 전까지는 백엔드 응답의 `resetPreviewUrl`을 개발용 링크로 표시한다.
 - Resend 메일러가 추가되었다. `RESEND_API_KEY`, `MAIL_FROM_EMAIL`, `MAIL_FROM_NAME`, `APP_BASE_URL` 환경변수를 설정하면 이메일 인증과 비밀번호 재설정 메일을 실제로 발송한다. API 키는 저장소에 커밋하지 말고 루트 `.env`/`.env.dev`에만 넣는다.
+- 메일 발송 인프라는 현재 Resend 기준으로 확정했다. 자동 로그아웃 옵션은 플래너를 오래 띄워두는 사용 흐름과 맞지 않아 TODO 대상에서 제외했다.
 - 인증/비밀번호 재설정 개발용 링크는 `AUTH_PREVIEW_LINKS=true`일 때만 API 응답에 포함된다. 운영 `.env`는 반드시 `AUTH_PREVIEW_LINKS=false`로 두어야 하며, 현재 예시 파일도 false가 기본값이다.
 - 회원가입은 이제 자동 로그인되지 않는다. 인증 메일 발송 후 `이메일 인증 후 로그인` 안내만 보여주고, 일반 사용자는 이메일 인증 전까지 로그인할 수 없다.
 - 기존에 발급된 세션이라도 일반 사용자 이메일 인증이 안 되어 있으면 `/api/auth/me` 단계에서 세션을 즉시 폐기한다. 운영 중 인증 정책을 켠 뒤에도 미인증 세션이 남지 않게 하기 위한 장치다.
 - 비밀번호 재설정/이메일 인증용 개발 링크는 `AUTH_PREVIEW_LINKS=true`여도 `APP_BASE_URL`이 `localhost` 또는 `127.0.0.1`일 때만 응답에 포함한다. 상용 서버에서 링크가 그대로 보이면 이 조건부터 확인한다.
 - 프론트는 `/verify-email?token=...` 진입 시 인증을 바로 확정하고 로그인 모달에 결과 메시지를 띄운다. `/reset-password?token=...`은 기존처럼 비밀번호 재설정 모달을 연다.
+- 로그인 모달에는 `이메일 인증 메일 다시 보내기` 버튼이 추가되었다. 이메일 주소를 입력한 상태에서 바로 인증 메일 재전송을 요청할 수 있어, 가입 후 메일을 못 받은 사용자가 로그인 단계에서 막히지 않게 했다.
 - SETTINGS 화면에 일반 사용자 전용 `회원 탈퇴` 카드가 추가되었다. 현재 비밀번호 확인 후 계정, 플래너 기록, 목표, 세션, 인증 토큰이 함께 삭제된다. 기본 관리자 계정은 이 경로에서 삭제하지 못하게 막는다.
 - `/api/auth/logout`이 추가되어 로그아웃 시 프론트 저장 토큰만 지우는 것이 아니라 서버 세션도 함께 폐기한다.
 - SETTINGS 화면 왼쪽 카드에 현재 기기 로그인 유지 방식(`로그인 유지` 또는 브라우저 세션만 유지), 최근 로그인 시각, 이메일 인증 상태를 보여준다.
 - 현재 로그인 유지 방식은 `authPersist` 상태로 함께 들고 가며, 프로필 저장 후에도 원래 저장 방식(localStorage/sessionStorage)을 유지하도록 정리했다.
+- 사용자 테이블에 `disabledAt` 컬럼이 추가되었다. 관리자가 비활성화한 계정은 즉시 현재 세션이 모두 종료되고, 이후 로그인도 차단된다.
+- 관리자 화면에서 일반 사용자 계정에 대해 `비활성화/다시 허용`, `강제 로그아웃`, `삭제`를 실행할 수 있다. 관리자 계정은 이 화면에서 비활성화하거나 삭제하지 못하게 막는다.
+- 관리자 사용자 목록에는 현재 활성 세션 수와 비활성화 상태가 함께 표시된다.
 - `5173` 포트가 직접 `npm run dev` 없이 열려 있으면 대부분 `ten-minute-frontend-dev` 컨테이너가 떠 있는 상태다. 개발용 Docker를 끄려면 `docker compose -f docker-compose.dev.yml down`을 사용한다.
 - 현재 환경에서는 Docker 데몬이 꺼져 있어서 `docker compose build` 실검증은 하지 못했고, 데몬 시작 후 다시 확인이 필요하다.
 - 이미지 저장 기능은 추후 `print-only` 또는 별도 export 전용 레이아웃을 기준으로 구현하면 화면/인쇄/공유 결과를 맞추기 쉽다.
@@ -241,7 +246,7 @@
 - 날짜에 적용되는 목표가 새로 생기면 D-DAY는 기본 표시된다. 사용자가 해당 날짜에서 직접 `D-DAY 사용`을 끈 경우에만 로컬 숨김 목록에 저장해 다시 숨긴다.
 - 비로그인 랜딩은 모바일에서 `카드 안 카드`처럼 보이지 않도록 기능 설명 카드를 얇은 리스트로 단순화했고, `LOGIN` / `SIGN UP` 버튼은 같은 너비와 높이로 맞췄다. 로그인/회원가입 모달도 하단 전환 영역을 별도 카드 대신 구분선 형태로 정리했다.
 - 로그인 모달에 `로그인 유지` 체크박스를 추가했다. 기본값은 OFF이며, OFF 상태에서는 인증 토큰을 `sessionStorage`에 저장해 브라우저 세션이 끝나면 사라지고, ON 상태에서만 `localStorage`에 저장한다.
-- 현재 로그아웃은 프론트 저장 토큰을 지우는 수준이다. 개인 기록 서비스 성격을 고려하면 다음 단계에서 서버 세션 폐기 API와 미사용 자동 로그아웃 옵션을 추가하는 편이 좋다.
+- 현재 로그아웃은 `/api/auth/logout`으로 서버 세션까지 함께 폐기한다. 자동 로그아웃 옵션은 플래너를 오래 열어두는 사용 흐름과 맞지 않아 추가 대상에서 제외했다.
 - 비로그인 랜딩에 `DEMO VIEW`를 추가했다. 데모는 실제 저장/로그인 상태와 분리된 읽기 전용 샘플이며, 어제/오늘/내일 3일치 플래너를 전환해서 제품 감각을 먼저 볼 수 있다.
 - 플래너 본문 `MEMO`와 `TIME TABLE` 하단 높이를 맞추기 위해 TASK/MEMO 리스트 간격과 행 높이를 조정했다. TASK 드래그 선택 피드백은 레이아웃 흔들림을 줄이도록 ring 대신 배경색만 사용한다.
 - 이월된 할 일은 `carryoverFrom` 날짜를 가진다. TASK 본문에는 `이월` 배지를 표시하고, 클릭하면 오른쪽 `READ NEXT` 영역에 원래 시작 날짜를 안내한다.

TODO.md

@@ -98,43 +98,9 @@
 - [x] 비밀번호 찾기 / 재설정 토큰 흐름을 추가한다.
 - [ ] 로그인 및 인증 관련 rate limit / 잠금 정책을 추가한다.
 - [x] 로그인 유지 여부를 사용자가 선택할 수 있게 한다.
-- [ ] 일정 시간 미사용 시 자동 로그아웃 옵션을 추가한다.
 - [x] 설정 화면에서 현재 기기 로그인 상태와 저장 방식을 안내한다.
 - [x] 서버 세션을 명시적으로 폐기하는 로그아웃 API를 추가한다.
-- [ ] 메일 발송 인프라와 발신 도메인 정책을 확정한다.
-- [ ] Resend 무료 플랜 대체 수단으로 SES 또는 일반 SMTP 연동 방식을 확정한다.
-- [ ] 관리자 페이지에서 계정 비활성화 / 강제 로그아웃 / 삭제 기능을 추가한다.
+- [x] 메일 발송 인프라와 발신 도메인 정책을 Resend 기준으로 확정한다.
+- [x] 관리자 페이지에서 계정 비활성화 / 강제 로그아웃 / 삭제 기능을 추가한다.
 - [ ] 관리자 페이지에서 사용자별 문서 상세 조회 기능을 추가한다.
 - [ ] 관리자 페이지에서 검색 / 정렬 / 필터 UX를 추가한다.
-
-## 메모
-
-- D-DAY는 본문에 직접 입력하는 방식보다, 별도 목표 목록에서 선택한 대표 목표를 보여주는 구조가 더 적합하다.
-- 목표가 없는 경우 본문 D-DAY 영역은 숨기고, 오른쪽 패널의 `D-DAY 사용` 메뉴에서 검색/선택하도록 유도한다.
-- `TIME TABLE` 드래그는 단순 사각형 선택이 아니라 시간 셀 단위의 연속 선택으로 해석한다.
-- 로컬 저장은 비로그인/데모 보조 용도로만 남기고, 로그인 상태에서는 사용자별 서버 저장을 우선한다.
-- 최종적으로는 회원 가입 후 각자 자신의 문서를 작성/관리하고, 개인 통계를 확인하며, 특정 날짜 문서를 출력할 수 있어야 한다.
-- 실제 인쇄는 HTML/CSS 기반 프린트 레이아웃으로 유지하고, 공유용으로는 별도의 이미지 저장 기능을 추가하는 방향이 적합하다.
-- 최종 배포는 UGREEN NAS에서 Docker 기반으로 동작할 예정이며, 포트와 실제 서비스 구성은 추후 확정한다.
-- 백엔드는 빠른 목업이면 PocketBase도 가능하지만, 현재 방향상 커스텀 로직과 확장성을 생각하면 전용 Node.js API + DB 조합을 우선 검토한다.
-- 현재 백엔드는 `backend/` 폴더에 `Fastify + Drizzle + PostgreSQL` 기준으로 전환 중이다.
-- 현재 백엔드는 회원가입, 로그인, 현재 사용자 확인용 기본 인증 API까지 포함한다.
-- 현재 백엔드는 사용자별 플래너 단건 저장/조회와 범위 조회 API까지 포함한다.
-- 현재 백엔드는 사용자별 목표 목록 조회와 목표 생성 API까지 포함한다.
-- 현재는 `docker-compose.yml`로 `postgres + backend + frontend(nginx)` 초안을 올릴 수 있게 정리했다.
-- 현재 환경에서는 Docker 데몬이 꺼져 있어 `docker compose build` 실검증은 아직 완료하지 못했다.
-- 프론트에는 로그인/회원가입 모달과 현재 사용자 상태 표시가 추가되었다.
-- 로그인 상태일 때는 서버 저장을 우선 사용하는 흐름으로 전환 중이다.
-- 로그인 전에는 플래너 본문을 사용하지 못하도록 막고, 인증 후 사용 흐름으로 정리했다.
-- 현재는 각 날짜 플래너가 대표 목표 하나를 선택해 `D-DAY`에 연결하는 구조다.
-- 목표는 별도 GOALS 화면에서 검색/생성/기간 설정을 관리하고, 플래너에서는 표시 ON/OFF만 다룬다.
-- 목표가 현재 날짜에 적용되지 않았거나 `D-DAY 사용`이 꺼져 있으면 본문 `D-DAY` 영역은 숨긴다.
-- 현재 날짜에 적용된 목표가 있으면 D-DAY는 기본적으로 보이고, 사용자가 해당 날짜에서만 OFF로 끌 수 있다.
-- 목표 생성 시 표시 시작일 기본값은 오늘, 표시 종료일 기본값은 목표일로 맞춘다.
-- 표시 기간이 다른 진행 중 목표와 겹치면 프론트와 백엔드 모두 저장을 막는다.
-- 앱을 새로 열면 마지막 열람 날짜가 아니라 항상 오늘 날짜부터 시작하고, Docker/NAS 컨테이너 시간대는 `Asia/Seoul` 기준으로 맞춘다.
-- TASK LABELS는 버튼 묶음 대신 동일한 토글 패턴으로 단순화했다.
-- 구현할 때마다 완료된 항목은 체크하고, 큰 결정사항은 `HANDOFF.md`에도 함께 반영한다.
-- Resend 무료 플랜은 도메인 수 제약이 있으므로, 실제 인증 메일은 AWS SES 또는 별도 SMTP 서비스 전환을 전제로 설계하는 편이 안전하다.
-- 관리자 기능은 읽기 전용 대시보드부터 시작하고, 실제 정리 액션은 권한/감사 로그 정책을 정한 뒤 추가하는 편이 안전하다.
-- 관리자 아이디/비밀번호는 README나 HANDOFF에 실제 값으로 남기지 않고, Docker 배포용 비공개 `.env`에서만 관리한다.

backend/src/db/init.js

@@ -9,6 +9,7 @@ export async function ensureDatabaseSchema() {
       password_hash VARCHAR(255) NOT NULL,
       nickname VARCHAR(60) NOT NULL,
       role VARCHAR(20) NOT NULL DEFAULT 'user',
+      disabled_at TIMESTAMPTZ,
       email_verified_at TIMESTAMPTZ,
       last_login_at TIMESTAMPTZ,
       created_at TIMESTAMPTZ NOT NULL,
@@ -21,6 +22,9 @@ export async function ensureDatabaseSchema() {
     ALTER TABLE users
     ADD COLUMN IF NOT EXISTS role VARCHAR(20) NOT NULL DEFAULT 'user';
 
+    ALTER TABLE users
+    ADD COLUMN IF NOT EXISTS disabled_at TIMESTAMPTZ;
+
     ALTER TABLE users
     ADD COLUMN IF NOT EXISTS email_verified_at TIMESTAMPTZ;
 

backend/src/db/schema.js

@@ -16,6 +16,7 @@ export const users = pgTable('users', {
   passwordHash: varchar('password_hash', { length: 255 }).notNull(),
   nickname: varchar('nickname', { length: 60 }).notNull(),
   role: varchar('role', { length: 20 }).notNull().default('user'),
+  disabledAt: timestamp('disabled_at', { withTimezone: true }),
   emailVerifiedAt: timestamp('email_verified_at', { withTimezone: true }),
   lastLoginAt: timestamp('last_login_at', { withTimezone: true }),
   createdAt: timestamp('created_at', { withTimezone: true }).notNull(),

backend/src/lib/authSession.js

@@ -65,6 +65,11 @@ export async function findAuthenticatedUser(request) {
     .where(eq(users.id, session.userId))
     .limit(1)
 
+  if (user?.disabledAt) {
+    await db.delete(authSessions).where(eq(authSessions.id, session.id))
+    return null
+  }
+
   if (user && user.role !== 'admin' && !user.emailVerifiedAt) {
     await db.delete(authSessions).where(eq(authSessions.id, session.id))
     return null

backend/src/routes/admin.js

@@ -1,7 +1,13 @@
-import { sql } from 'drizzle-orm'
+import { and, eq, sql } from 'drizzle-orm'
+import { z } from 'zod'
 import { db } from '../db/client.js'
 import { findAuthenticatedUser } from '../lib/authSession.js'
-import { users } from '../db/schema.js'
+import { authSessions, users } from '../db/schema.js'
+
+const adminUserIdSchema = z.coerce.number().int().positive()
+const adminStatusSchema = z.object({
+  disabled: z.boolean(),
+})
 
 async function requireAdminUser(request, reply) {
   const user = await findAuthenticatedUser(request)
@@ -35,6 +41,7 @@ export async function registerAdminRoutes(app) {
       .select({
         totalUsers: sql`count(*)::int`,
         totalAdmins: sql`count(*) filter (where ${users.role} = 'admin')::int`,
+        disabledUsers: sql`count(*) filter (where ${users.disabledAt} is not null)::int`,
         verifiedUsers: sql`count(*) filter (where ${users.emailVerifiedAt} is not null)::int`,
         activeUsers30d: sql`count(*) filter (where ${users.lastLoginAt} >= now() - interval '30 days')::int`,
         newUsers7d: sql`count(*) filter (where ${users.createdAt} >= now() - interval '7 days')::int`,
@@ -54,16 +61,19 @@ export async function registerAdminRoutes(app) {
         u.nickname,
         u.email,
         u.role,
+        u.disabled_at as "disabledAt",
         u.created_at as "createdAt",
         u.email_verified_at as "emailVerifiedAt",
         u.last_login_at as "lastLoginAt",
         count(distinct pe.id)::int as "plannerEntryCount",
         count(distinct g.id)::int as "goalCount",
+        count(distinct s.id)::int as "activeSessionCount",
         max(pe.entry_date) as "lastEntryDate",
         max(pe.updated_at) as "lastEntryUpdatedAt"
       from users u
       left join planner_entries pe on pe.user_id = u.id
       left join goals g on g.user_id = u.id
+      left join auth_sessions s on s.user_id = u.id and s.expires_at > now()
       group by u.id
       order by coalesce(u.last_login_at, u.created_at) desc, u.id desc
     `)
@@ -88,6 +98,7 @@ export async function registerAdminRoutes(app) {
         verifiedUsers: summary?.verifiedUsers ?? 0,
         activeUsers30d: summary?.activeUsers30d ?? 0,
         newUsers7d: summary?.newUsers7d ?? 0,
+        disabledUsers: summary?.disabledUsers ?? 0,
         totalPlannerEntries: plannerCountResult.rows[0]?.count ?? 0,
         totalGoals: goalCountResult.rows[0]?.count ?? 0,
       },
@@ -100,4 +111,150 @@ export async function registerAdminRoutes(app) {
       recentLogins: recentLoginsResult.rows,
     }
   })
+
+  app.put('/api/admin/users/:userId/status', async (request, reply) => {
+    const adminUser = await requireAdminUser(request, reply)
+
+    if (!adminUser) {
+      return
+    }
+
+    const userIdResult = adminUserIdSchema.safeParse(request.params.userId)
+    const payload = adminStatusSchema.safeParse(request.body)
+
+    if (!userIdResult.success || !payload.success) {
+      return reply.code(400).send({
+        message: '관리자 요청 값이 올바르지 않습니다.',
+      })
+    }
+
+    const userId = userIdResult.data
+
+    const [targetUser] = await db
+      .select()
+      .from(users)
+      .where(eq(users.id, userId))
+      .limit(1)
+
+    if (!targetUser) {
+      return reply.code(404).send({
+        message: '대상 사용자를 찾을 수 없습니다.',
+      })
+    }
+
+    if (targetUser.role === 'admin') {
+      return reply.code(403).send({
+        message: '관리자 계정 상태는 여기서 변경할 수 없습니다.',
+      })
+    }
+
+    const disabled = payload.data.disabled
+    const now = new Date()
+
+    const [updatedUser] = await db
+      .update(users)
+      .set({
+        disabledAt: disabled ? now : null,
+        updatedAt: now,
+      })
+      .where(eq(users.id, userId))
+      .returning()
+
+    if (disabled) {
+      await db.delete(authSessions).where(eq(authSessions.userId, userId))
+    }
+
+    return {
+      message: disabled ? '계정을 비활성화했습니다.' : '계정을 다시 사용할 수 있게 했습니다.',
+      user: updatedUser,
+    }
+  })
+
+  app.post('/api/admin/users/:userId/revoke-sessions', async (request, reply) => {
+    const adminUser = await requireAdminUser(request, reply)
+
+    if (!adminUser) {
+      return
+    }
+
+    const userIdResult = adminUserIdSchema.safeParse(request.params.userId)
+
+    if (!userIdResult.success) {
+      return reply.code(400).send({
+        message: '대상 사용자 값이 올바르지 않습니다.',
+      })
+    }
+
+    const userId = userIdResult.data
+
+    const [targetUser] = await db
+      .select()
+      .from(users)
+      .where(eq(users.id, userId))
+      .limit(1)
+
+    if (!targetUser) {
+      return reply.code(404).send({
+        message: '대상 사용자를 찾을 수 없습니다.',
+      })
+    }
+
+    if (targetUser.role === 'admin') {
+      return reply.code(403).send({
+        message: '관리자 계정 세션은 여기서 정리하지 않습니다.',
+      })
+    }
+
+    const deletedSessions = await db
+      .delete(authSessions)
+      .where(eq(authSessions.userId, userId))
+      .returning({ id: authSessions.id })
+
+    return {
+      message: deletedSessions.length > 0 ? '해당 사용자의 로그인 세션을 모두 종료했습니다.' : '종료할 로그인 세션이 없습니다.',
+      revokedCount: deletedSessions.length,
+    }
+  })
+
+  app.delete('/api/admin/users/:userId', async (request, reply) => {
+    const adminUser = await requireAdminUser(request, reply)
+
+    if (!adminUser) {
+      return
+    }
+
+    const userIdResult = adminUserIdSchema.safeParse(request.params.userId)
+
+    if (!userIdResult.success) {
+      return reply.code(400).send({
+        message: '대상 사용자 값이 올바르지 않습니다.',
+      })
+    }
+
+    const userId = userIdResult.data
+
+    const [targetUser] = await db
+      .select()
+      .from(users)
+      .where(eq(users.id, userId))
+      .limit(1)
+
+    if (!targetUser) {
+      return reply.code(404).send({
+        message: '대상 사용자를 찾을 수 없습니다.',
+      })
+    }
+
+    if (targetUser.role === 'admin') {
+      return reply.code(403).send({
+        message: '관리자 계정은 여기서 삭제할 수 없습니다.',
+      })
+    }
+
+    await db.delete(users).where(and(eq(users.id, userId), eq(users.role, 'user')))
+
+    return {
+      message: '사용자 계정과 관련 데이터를 삭제했습니다.',
+    }
+  })
 }

backend/src/routes/auth.js

@@ -106,6 +106,7 @@ function sanitizeUser(user) {
     loginId: user.loginId,
     nickname: user.nickname,
     role: user.role,
+    disabledAt: user.disabledAt,
     emailVerifiedAt: user.emailVerifiedAt,
     lastLoginAt: user.lastLoginAt,
     createdAt: user.createdAt,
@@ -239,6 +240,12 @@ export async function registerAuthRoutes(app) {
       })
     }
 
+    if (user.disabledAt) {
+      return reply.code(403).send({
+        message: '비활성화된 계정입니다. 관리자에게 문의해 주세요.',
+      })
+    }
+
     if (user.role !== 'admin' && !user.emailVerifiedAt) {
       return reply.code(403).send({
         message: '이메일 인증을 완료한 뒤 로그인해 주세요.',

package-lock.json

@@ -1,12 +1,12 @@
 {
   "name": "ten-minute-planner",
-  "version": "0.1.45",
+  "version": "0.1.48",
   "lockfileVersion": 3,
   "requires": true,
   "packages": {
     "": {
       "name": "ten-minute-planner",
-      "version": "0.1.45",
+      "version": "0.1.48",
       "dependencies": {
         "vue": "^3.5.13"
       },

package.json

@@ -1,7 +1,7 @@
 {
   "name": "ten-minute-planner",
   "private": true,
-  "version": "0.1.45",
+  "version": "0.1.48",
   "type": "module",
   "scripts": {
     "dev": "vite",

src/App.vue

@@ -8,7 +8,12 @@ import MiniCalendar from './components/MiniCalendar.vue'
 import PlannerPage from './components/PlannerPage.vue'
 import SettingsDashboard from './components/SettingsDashboard.vue'
 import StatsDashboard from './components/StatsDashboard.vue'
-import { fetchAdminOverview } from './lib/adminApi'
+import {
+  deleteAdminUser,
+  fetchAdminOverview,
+  revokeAdminUserSessions,
+  updateAdminUserStatus,
+} from './lib/adminApi'
 import {
   clearAuthState,
   confirmVerification,
@@ -20,6 +25,7 @@ import {
   persistAuthState,
   readAuthState,
   requestPasswordReset,
+  requestVerification,
   signup,
   updatePassword,
   updateProfile,
@@ -107,10 +113,12 @@ const guideTooltipResetMessage = ref('')
 const hiddenGuideTooltips = ref(readHiddenGuideTooltips())
 const ddayDisabledDateKeys = ref(readDdayDisabledDateKeys())
 const adminBusy = ref(false)
+const adminActionUserId = ref(null)
 const adminMessage = ref('')
 const adminOverview = ref({
   totalUsers: 0,
   totalAdmins: 0,
+  disabledUsers: 0,
   verifiedUsers: 0,
   activeUsers30d: 0,
   newUsers7d: 0,
@@ -1628,6 +1636,28 @@ async function submitAuthForm() {
   }
 }
 
+async function resendVerificationEmail() {
+  const email = authForm.email.trim()
+
+  if (!email || !email.includes('@')) {
+    authMessage.value = '인증 메일을 다시 받으려면 이메일 주소를 먼저 입력해 주세요.'
+    return
+  }
+
+  authBusy.value = true
+
+  try {
+    const result = await requestVerification({ email }, authToken.value || undefined)
+    authMessage.value = result.verificationPreviewUrl
+      ? `${result.message} 개발용 링크: ${result.verificationPreviewUrl}`
+      : result.message
+  } catch (error) {
+    authMessage.value = toUserFacingApiError(error, '인증 메일을 다시 보내지 못했습니다.')
+  } finally {
+    authBusy.value = false
+  }
+}
+
 async function restoreAuthSession() {
   const savedAuth = readAuthState()
 
@@ -1678,6 +1708,7 @@ function clearAuthenticatedState() {
   adminOverview.value = {
     totalUsers: 0,
     totalAdmins: 0,
+    disabledUsers: 0,
     verifiedUsers: 0,
     activeUsers30d: 0,
     newUsers7d: 0,
@@ -1734,6 +1765,71 @@ async function loadAdminDashboard() {
   }
 }
 
+async function toggleAdminUserStatus(user) {
+  const willDisable = !user.disabledAt
+  const confirmed = window.confirm(
+    willDisable
+      ? `"${user.nickname}" 계정을 비활성화할까요? 즉시 로그인할 수 없고 현재 세션도 종료됩니다.`
+      : `"${user.nickname}" 계정을 다시 사용할 수 있게 할까요?`,
+  )
+
+  if (!confirmed) {
+    return
+  }
+
+  adminActionUserId.value = user.id
+
+  try {
+    const result = await updateAdminUserStatus(authToken.value, user.id, willDisable)
+    adminMessage.value = result.message || '계정 상태를 변경했습니다.'
+    await loadAdminDashboard()
+  } catch (error) {
+    adminMessage.value = error.message || '계정 상태를 변경하지 못했습니다.'
+  } finally {
+    adminActionUserId.value = null
+  }
+}
+
+async function revokeAdminSessions(user) {
+  const confirmed = window.confirm(`"${user.nickname}" 사용자를 현재 로그인된 모든 기기에서 로그아웃시킬까요?`)
+
+  if (!confirmed) {
+    return
+  }
+
+  adminActionUserId.value = user.id
+
+  try {
+    const result = await revokeAdminUserSessions(authToken.value, user.id)
+    adminMessage.value = result.message || '사용자 세션을 정리했습니다.'
+    await loadAdminDashboard()
+  } catch (error) {
+    adminMessage.value = error.message || '사용자 세션을 종료하지 못했습니다.'
+  } finally {
+    adminActionUserId.value = null
+  }
+}
+
+async function removeAdminUser(user) {
+  const confirmed = window.confirm(`"${user.nickname}" 계정을 삭제할까요? 플래너 기록과 목표 데이터도 함께 삭제됩니다.`)
+
+  if (!confirmed) {
+    return
+  }
+
+  adminActionUserId.value = user.id
+
+  try {
+    const result = await deleteAdminUser(authToken.value, user.id)
+    adminMessage.value = result.message || '사용자 계정을 삭제했습니다.'
+    await loadAdminDashboard()
+  } catch (error) {
+    adminMessage.value = error.message || '사용자 계정을 삭제하지 못했습니다.'
+  } finally {
+    adminActionUserId.value = null
+  }
+}
+
 async function loadGoals() {
   if (!authToken.value) {
     return
@@ -3118,7 +3214,11 @@ onBeforeUnmount(() => {
         :users="adminUsers"
         :recent-logins="adminRecentLogins"
         :busy="adminBusy"
+        :action-busy-user-id="adminActionUserId"
         :message="adminMessage"
+        @toggle-user-status="toggleAdminUserStatus"
+        @revoke-user-sessions="revokeAdminSessions"
+        @delete-user="removeAdminUser"
       />
 
       <StatsDashboard
@@ -3171,17 +3271,18 @@ onBeforeUnmount(() => {
       </div>
     </div>
 
-    <AuthDialog
-      :open="authDialogOpen"
-      :mode="authMode"
-      :form="authForm"
-      :busy="authBusy"
-      :message="authMessage"
-      @close="closeAuthDialog"
-      @submit="submitAuthForm"
-      @switch-mode="authMode = $event; authMessage = ''"
-      @update:field="updateAuthField"
-    />
+      <AuthDialog
+        :open="authDialogOpen"
+        :mode="authMode"
+        :form="authForm"
+        :busy="authBusy"
+        :message="authMessage"
+        @close="closeAuthDialog"
+        @submit="submitAuthForm"
+        @resend-verification="resendVerificationEmail"
+        @switch-mode="authMode = $event; authMessage = ''"
+        @update:field="updateAuthField"
+      />
 
     <div
       v-if="printDialogOpen"

src/components/AdminDashboard.vue

@@ -20,8 +20,18 @@ const props = defineProps({
     type: String,
     default: '',
   },
+  actionBusyUserId: {
+    type: Number,
+    default: null,
+  },
 })
 
+const emit = defineEmits([
+  'toggle-user-status',
+  'revoke-user-sessions',
+  'delete-user',
+])
+
 function formatDate(value) {
   if (!value) {
     return '기록 없음'
@@ -45,7 +55,7 @@ function formatDate(value) {
 
 <template>
   <section class="grid gap-6">
-    <div class="grid gap-4 md:grid-cols-2 xl:grid-cols-4">
+    <div class="grid gap-4 md:grid-cols-2 xl:grid-cols-5">
       <article class="rounded-[28px] border border-white/60 bg-white/80 p-6">
         <p class="text-[11px] font-bold uppercase tracking-[0.24em] text-stone-500">Total Users</p>
         <p class="mt-4 text-4xl font-semibold tracking-[-0.06em] text-stone-900">{{ summary.totalUsers }}</p>
@@ -69,6 +79,12 @@ function formatDate(value) {
         <p class="mt-4 text-3xl font-semibold tracking-[-0.06em] text-stone-900">{{ summary.verifiedUsers }} / {{ summary.totalAdmins }}</p>
         <p class="mt-2 text-sm font-semibold text-stone-500">인증 완료 계정 수 / 관리자 수</p>
       </article>
+
+      <article class="rounded-[28px] border border-white/60 bg-white/80 p-6">
+        <p class="text-[11px] font-bold uppercase tracking-[0.24em] text-stone-500">Disabled Users</p>
+        <p class="mt-4 text-4xl font-semibold tracking-[-0.06em] text-stone-900">{{ summary.disabledUsers ?? 0 }}</p>
+        <p class="mt-2 text-sm font-semibold text-stone-500">관리자가 비활성화한 계정 수</p>
+      </article>
     </div>
 
     <div class="grid gap-6 xl:grid-cols-[320px_minmax(0,1fr)]">
@@ -128,7 +144,7 @@ function formatDate(value) {
         </p>
 
         <div class="mt-5 overflow-hidden rounded-[24px] border border-stone-200 bg-white">
-          <div class="hidden grid-cols-[84px_minmax(0,1.4fr)_120px_150px_110px_100px_150px] gap-3 border-b border-stone-200 bg-[#f8f4ed] px-5 py-4 text-[10px] font-bold uppercase tracking-[0.18em] text-stone-500 xl:grid">
+          <div class="hidden grid-cols-[84px_minmax(0,1.2fr)_110px_150px_90px_90px_150px_190px] gap-3 border-b border-stone-200 bg-[#f8f4ed] px-5 py-4 text-[10px] font-bold uppercase tracking-[0.18em] text-stone-500 xl:grid">
             <span>ID</span>
             <span>사용자</span>
             <span>권한</span>
@@ -136,6 +152,7 @@ function formatDate(value) {
             <span>문서 수</span>
             <span>목표 수</span>
             <span>상태</span>
+            <span>관리</span>
           </div>
 
           <div class="divide-y divide-stone-200">
@@ -144,7 +161,7 @@ function formatDate(value) {
               :key="user.id"
               class="px-5 py-4"
             >
-              <div class="grid gap-3 xl:grid-cols-[84px_minmax(0,1.4fr)_120px_150px_110px_100px_150px] xl:items-center">
+              <div class="grid gap-3 xl:grid-cols-[84px_minmax(0,1.2fr)_110px_150px_90px_90px_150px_190px] xl:items-center">
                 <p class="text-xs font-bold tracking-[0.14em] text-stone-500">#{{ user.id }}</p>
                 <div>
                   <p class="text-sm font-semibold text-stone-900">{{ user.nickname }}</p>
@@ -157,9 +174,9 @@ function formatDate(value) {
                 <div class="flex flex-wrap items-center gap-2">
                   <span
                     class="rounded-full px-3 py-1 text-[10px] font-bold tracking-[0.14em]"
-                    :class="user.isActiveRecently ? 'bg-emerald-100 text-emerald-700' : 'bg-stone-100 text-stone-500'"
+                    :class="user.disabledAt ? 'bg-rose-100 text-rose-700' : user.isActiveRecently ? 'bg-emerald-100 text-emerald-700' : 'bg-stone-100 text-stone-500'"
                   >
-                    {{ user.isActiveRecently ? '활동 중' : '휴면 가능성' }}
+                    {{ user.disabledAt ? '비활성화' : user.isActiveRecently ? '활동 중' : '휴면 가능성' }}
                   </span>
                   <span
                     class="rounded-full px-3 py-1 text-[10px] font-bold tracking-[0.14em]"
@@ -167,6 +184,48 @@ function formatDate(value) {
                   >
                     {{ user.emailVerifiedAt ? '이메일 인증' : '미인증' }}
                   </span>
+                  <span
+                    class="rounded-full px-3 py-1 text-[10px] font-bold tracking-[0.14em]"
+                    :class="user.activeSessionCount > 0 ? 'bg-violet-100 text-violet-700' : 'bg-stone-100 text-stone-500'"
+                  >
+                    세션 {{ user.activeSessionCount }}개
+                  </span>
+                </div>
+                <div class="flex flex-wrap items-center gap-2 xl:justify-end">
+                  <button
+                    v-if="user.role !== 'admin'"
+                    type="button"
+                    class="rounded-full border px-3 py-2 text-[10px] font-bold tracking-[0.14em] transition"
+                    :class="user.disabledAt ? 'border-emerald-300 text-emerald-700 hover:bg-emerald-50' : 'border-amber-300 text-amber-700 hover:bg-amber-50'"
+                    :disabled="actionBusyUserId === user.id"
+                    @click="emit('toggle-user-status', user)"
+                  >
+                    {{ user.disabledAt ? '다시 허용' : '비활성화' }}
+                  </button>
+                  <button
+                    v-if="user.role !== 'admin'"
+                    type="button"
+                    class="rounded-full border border-stone-300 px-3 py-2 text-[10px] font-bold tracking-[0.14em] text-stone-700 transition hover:bg-stone-100"
+                    :disabled="actionBusyUserId === user.id"
+                    @click="emit('revoke-user-sessions', user)"
+                  >
+                    강제 로그아웃
+                  </button>
+                  <button
+                    v-if="user.role !== 'admin'"
+                    type="button"
+                    class="rounded-full border border-rose-300 px-3 py-2 text-[10px] font-bold tracking-[0.14em] text-rose-700 transition hover:bg-rose-50"
+                    :disabled="actionBusyUserId === user.id"
+                    @click="emit('delete-user', user)"
+                  >
+                    삭제
+                  </button>
+                  <span
+                    v-if="actionBusyUserId === user.id"
+                    class="text-[10px] font-bold tracking-[0.12em] text-stone-400"
+                  >
+                    처리 중...
+                  </span>
                 </div>
               </div>
             </article>

src/components/AuthDialog.vue

@@ -25,6 +25,7 @@ const props = defineProps({
 const emit = defineEmits([
   'close',
   'submit',
+  'resend-verification',
   'switch-mode',
   'update:field',
 ])
@@ -210,6 +211,16 @@ function getSubmitLabel(mode, busy) {
         비밀번호를 잊으셨나요?
       </button>
 
+      <button
+        v-if="mode === 'login'"
+        type="button"
+        class="mt-3 w-full text-center text-xs font-bold tracking-[0.14em] text-stone-500 underline underline-offset-4 transition hover:text-stone-900"
+        :disabled="busy"
+        @click="emit('resend-verification')"
+      >
+        이메일 인증 메일 다시 보내기
+      </button>
+
       <div class="mt-5 flex items-center justify-center gap-2 border-t border-stone-300/70 pt-4">
         <p class="text-sm font-semibold text-stone-600">
           {{ mode === 'signup' ? '이미 계정이 있나요?' : '계정 화면으로 돌아갈까요?' }}

src/lib/adminApi.js

@@ -1,10 +1,14 @@
 import { buildApiUrl, toUserFacingApiError } from './apiBase'
 
-async function request(path, token) {
+async function request(path, token, { method = 'GET', body } = {}) {
+  const hasBody = body !== undefined
   const response = await fetch(buildApiUrl(path), {
+    method,
     headers: {
       Authorization: `Bearer ${token}`,
+      ...(hasBody ? { 'Content-Type': 'application/json' } : {}),
     },
+    body: hasBody ? JSON.stringify(body) : undefined,
   })
 
   const data = await response.json().catch(() => ({}))
@@ -19,3 +23,22 @@ async function request(path, token) {
 export async function fetchAdminOverview(token) {
   return request('/api/admin/overview', token)
 }
+
+export async function updateAdminUserStatus(token, userId, disabled) {
+  return request(`/api/admin/users/${userId}/status`, token, {
+    method: 'PUT',
+    body: { disabled },
+  })
+}
+
+export async function revokeAdminUserSessions(token, userId) {
+  return request(`/api/admin/users/${userId}/revoke-sessions`, token, {
+    method: 'POST',
+  })
+}
+
+export async function deleteAdminUser(token, userId) {
+  return request(`/api/admin/users/${userId}`, token, {
+    method: 'DELETE',
+  })
+}

src/lib/authClient.js

@@ -143,3 +143,11 @@ export async function confirmVerification({ token }) {
     body: { token },
   })
 }
+
+export async function requestVerification({ email }, token) {
+  return request('/api/auth/verification/request', {
+    method: 'POST',
+    token,
+    body: email ? { email } : {},
+  })
+}