fix(core): traceId 를 실제로 쓸 수 있게 — 로그 출력·필터 순서·큐 전파

[i3months]

#260 의 "README 는 Discord 알림이 있다는데 코드엔 없던" 건과 같은 종류를 찾으려고
문서가 주장하는 동작을 전수 대조하다 나왔다.

존재 확인(PiiMasker·GithubTokenCipher·SSRF 가드·멱등·DLQ·ArchUnit·Testcontainers …)은
전부 통과했다. 하지만 "있다"와 "실제로 동작한다"는 다르다. 분산 추적은 배선은 돼 있는데
쓸 수가 없는 상태였고, 끊긴 곳이 세 군데였다.

1. MDC 를 채우는데 로그에 안 나온다

TraceIdFilter 가 요청마다 MDC 에 traceId 를 넣는다. 그런데 로그 패턴이 MDC 를 참조하지
않았다 — logback-spring.xml 도 없고 logging: 설정도 없어 Spring Boot 기본 패턴이 쓰였다.

운영 로그에서 traceId 가 보이는 줄은 메시지 문자열에 직접 박아 넣은 두 곳뿐이었다:

… c.s.s.common.security.SecurityConfig  : Authentication failed. code=…, traceId=null, …
… c.s.s.c.e.GlobalExceptionHandler      : Domain exception. code=…, traceId=eaf9d1ba-…, …
… o.s.web.servlet.DispatcherServlet     : Completed initialization in 2 ms      ← 나머지 전부 추적 불가

MDC 를 채우는 코드가 사실상 아무 일도 하지 않고 있었다.

logging.pattern.console 에 %X{traceId:-no-trace} 를 넣었다. traceId 가 없는 흐름(스케줄러
스위퍼)은 no-trace 로 뜬다 — 빈칸이면 "추적이 끊긴 것"과 "원래 요청이 없는 것"이 구분되지 않는다.

JSON 은 넣지 않았다. docs/observability.md §2.1 이 JSON 예시를 싣고 있었지만 그런 설정이
존재한 적이 없고, 로그 수집기도 없다. 실제로 읽는 경로는 docker logs 라 평문이 낫다.
없는 걸 문서가 주장하던 상태를 고치는 게 목적이지, 안 쓰는 걸 만드는 게 목적이 아니다 —
문서를 사실에 맞게 정정했다.

2. 인증 실패에는 traceId 가 항상 null

운영 로그 실물:

Authentication failed. code=AUTH_INVALID_TOKEN, traceId=null, uri=/api/.env
Authentication failed. code=AUTH_INVALID_TOKEN, traceId=null, uri=/api/phpinfo.php

@Order 가 없어 Spring Boot 가 LOWEST_PRECEDENCE 로 등록했고, Spring Security 체인은
-100 이라 보안 체인이 먼저 돈다. 인증 실패는 그 안에서 끝나므로 TraceIdFilter 에
닿지 못한다.

추적 ID 가 가장 필요한 순간(인증 실패·공격 스캔)에 정확히 빠져 있었다.

3. 큐를 건너면 추적이 끊긴다

엔벨로프는 처음부터 traceId 를 실어 왔는데 컨슈머가 MDC 로 되돌리지 않았다. 그래서 콜백
처리 로그에 traceId 가 없고, 이어서 발행하는 메시지는 RabbitMessagePublisher 가 새
traceId 를 만들어 붙였다 — 그 코드의 주석도 이미 인정하고 있다:

// RabbitListener / EventListener 등에서 MDC 미주입 흐름 — 발행 시점에 새 traceId 생성.

docs/observability.md §1 의 "한 요청의 모든 후속 처리(REST/Queue/SSE)에 동일 traceId 전파"
는 성립하지 않았다. @RabbitListener 5개를 TraceContext.runWithTraceId 로 감쌌다.
finally 로 반드시 지운다 — 스레드 풀이 재사용되므로 남기면 다음 메시지 로그에 엉뚱한
traceId 가 묻는다.

테스트

테스트	내용
TraceContextTest (4)	작업 중 설정 / 종료 후 정리 / 예외 시에도 정리 / 예외 전파(삼키면 DLQ 로 안 간다) / 빈 값이면 새로 생성
TraceIdFilterOrderTest (1)	@Order 존재 + Security 기본 순서(-100)보다 앞섬

순서 애노테이션은 지워져도 컴파일·테스트가 통과하고 운영에서도 조용하다 — 그래서 고정했다.

백엔드 전체 333건 통과, 0 실패.

배포 후 확인할 것

docker logs stackup-backend 한 줄에 [3f2a…-9c1b] 형태가 붙는지. 인증 실패 줄의
traceId=null 이 사라지는지.

남은 것

• AI 서버 로그에는 아직 traceId 가 없다 (uvicorn 기본 액세스 로그). Core↔AI 상관은
  ai_request_logs 로만 가능하다.
• userId 는 MDC 에 넣지 않는다.

둘 다 문서에 남겼다.