Description

GET /api/search의 type 파라미터를 검증하지 않고 getSearchColumns()가 미지원 type을 컬럼명으로 그대로 사용합니다. 임의의 type으로
잘못된 컬럼/정렬이 구성되어 검색이 500으로 실패하거나 의도치 않은 필터링/정렬이 발생할 수 있습니다.

Code

apps/web/src/app/api/search/route.ts[R32-34]

+function getSearchColumns(type: string): string[] {
+  return SEARCH_COLUMNS[type] ?? [type];
+}

Evidence

API에서 type은 URL에서 그대로 읽히고, 미지원 값은 컬럼 배열로 fallback되어 .or()/.order()에 사용됩니다.

apps/web/src/app/api/search/route.ts[32-34]
apps/web/src/app/api/search/route.ts[59-63]
apps/web/src/app/api/search/route.ts[199-206]

Agent prompt

The issue below was found during a code review. Follow the provided context and guidance below and implement a solution

## Issue description
`type`이 URL 파라미터에서 그대로 들어오며, 미지원 값은 `getSearchColumns()`에서 `[type]`로 fallback되어 PostgREST 필터/정렬 컬럼으로 사용됩니다. 이로 인해 잘못된 컬럼명으로 쿼리가 깨지거나(500), 의도치 않은 컬럼 기준의 필터/정렬이 가능합니다.

## Issue Context
- 클라이언트 타입(`SearchType`)은 제한돼도, API Route는 외부에서 직접 호출될 수 있습니다.
- 현재 `order`도 `type`에 의존하여 임의 컬럼 정렬로 이어질 수 있습니다.

## Fix Focus Areas
- apps/web/src/app/api/search/route.ts[32-34]
- apps/web/src/app/api/search/route.ts[199-206]

### Suggested fix
1) GET handler에서 `type`을 `all|title|artist|number`로 whitelist 검증하고, 미일치 시 400 반환.
2) `getSearchColumns()`의 fallback (`?? [type]`) 제거(또는 unreachable 처리)하여 미지원 type이 컬럼으로 사용되지 않게 함.
3) `order`도 `{ all: 'title', title: 'title', artist: 'artist', number: 'num_tj' }` 같은 고정 매핑으로 계산.

ⓘ Copy this prompt and use it to remediate the issue with your preferred AI generation tools

Description

검색 토큰/phrase가 PostgREST .or() 필터 문자열에 그대로 삽입되어, 콤마(,) 같은 구분 문자가 포함되면 조건이 분리되거나 문법이 깨집니다. 이는 잘못된
검색 결과 또는 Supabase 오류(500)를 유발하는 필터 구문 인젝션/파손 문제입니다.

Code

apps/web/src/app/api/search/route.ts[R49-51]

+function buildColumnOrGroup(columns: string[], pattern: string): string {
+  return columns.map(column => `${column}.ilike.${pattern}`).join(',');
+}

Evidence

.or() 필터 문자열이 column.ilike.${pattern} 형태로 직접 조합되며, pattern은 URL에서 온 사용자 입력을 그대로 사용합니다. 이 조합은
콤마를 조건 구분자로 사용하므로 값에 콤마가 들어가면 필터가 파손/분리됩니다.

apps/web/src/app/api/search/route.ts[47-51]
apps/web/src/app/api/search/route.ts[66-85]
apps/web/src/app/api/search/route.ts[199-205]

Agent prompt

The issue below was found during a code review. Follow the provided context and guidance below and implement a solution

## Issue description
`.or()` 인자는 콤마로 조건을 나누는 PostgREST 문법 문자열인데, 현재 구현은 사용자 입력(`q`→`token`/`phrase`)을 그대로 이어붙입니다. 입력에 `,`/`(` / `)` 등이 포함되면 조건이 의도치 않게 분리되거나 파싱 오류가 발생합니다.

## Issue Context
- `buildColumnOrGroup()`가 `join(',')`로 조건을 생성하므로, 값 자체에 콤마가 포함되는 경우 충돌이 확정적입니다.

## Fix Focus Areas
- apps/web/src/app/api/search/route.ts[47-51]
- apps/web/src/app/api/search/route.ts[66-85]
- apps/web/src/app/api/search/route.ts[199-205]

### Suggested fix
1) `.or()`에 넣기 전에 토큰/phrase를 PostgREST용으로 이스케이프하거나 정규화:
  - 최소한 `,` `(` `)` 같은 구문 구분자를 제거/치환(예: 공백으로 치환 후 재-tokenize)하거나,
  - PostgREST 문법이 허용하는 이스케이프 방식(백슬래시 등)을 적용하는 `escapePostgrestOrValue()`를 도입.
2) 동일 이스케이프를 exact/partial 및 exclusion(`not.ilike`) 경로 모두에 적용하여 일관성 유지.
3) (선택) 허용 문자 whitelist를 두고, 위험 문자가 포함되면 400으로 거절하여 API 안정성을 확보.

ⓘ Copy this prompt and use it to remediate the issue with your preferred AI generation tools

Description

q가 '   ' 같은 공백-only 문자열이면 상위에서 걸러지지 않고 tokenizeQuery() 결과가 빈 배열이 되어 phrase=''가 생성됩니다. 그 결과
title.ilike. 같은 빈 패턴 필터 문자열이 만들어져 쿼리가 실패(500)하거나 비정상 동작할 수 있습니다.

Code

apps/web/src/app/api/search/route.ts[R59-62]

+  const phrase = buildPhrasePattern(tokenizeQuery(searchText));
+  const columns = getSearchColumns(type);
+
+  return baseQuery.or(buildColumnOrGroup(columns, phrase));

Evidence

GET에서는 query를 trim하지 않은 채 null/빈문자만 검사하며, 새 토큰화/phrase 생성 로직은 토큰이 비면 phrase=''로 이어져 .ilike.
형태의 잘못된 필터 문자열이 생성됩니다.

apps/web/src/app/api/search/route.ts[36-45]
apps/web/src/app/api/search/route.ts[54-63]
apps/web/src/app/api/search/route.ts[199-220]

Agent prompt

The issue below was found during a code review. Follow the provided context and guidance below and implement a solution

## Issue description
GET handler는 `if (!query)`만 검사하므로 공백-only 문자열이 통과합니다. 이후 `tokenizeQuery(trim)` → `[]`, `buildPhrasePattern([])` → `''`가 되어 `.or()` 필터 문자열에 빈 패턴이 들어가며 PostgREST 문법 오류/오동작을 유발합니다.

## Issue Context
- 클라이언트는 `.trim()`을 하지만, API는 외부 호출도 가능하며 방어 로직이 필요합니다.

## Fix Focus Areas
- apps/web/src/app/api/search/route.ts[36-45]
- apps/web/src/app/api/search/route.ts[54-63]
- apps/web/src/app/api/search/route.ts[199-220]

### Suggested fix
1) `const raw = searchParams.get('q'); const query = raw?.trim() ?? ''`로 정규화 후 `if (!query) return 400`.
2) `tokenizeQuery()` 결과가 비어있으면(=토큰 0개) 필터 빌더를 호출하지 않도록 방어(400 또는 빈 결과 반환).

ⓘ Copy this prompt and use it to remediate the issue with your preferred AI generation tools

• 검색어를 공백 토큰으로 분리해 모든 단어 포함(AND) 시에만 부분 검색되도록 개선
• 정확 검색은 토큰을 %로 연결해 띄어쓰기 차이를 무시한 구(phrase) 매칭으로 상향
• nullable 컬럼의 NOT ILIKE가 NULL로 누락되던 부분 검색 버그를 NULL-safe 조건으로 수정

The following are alternative approaches to this PR:

Recommendation: 현 단계에서는 PR의 접근(API에서 토큰화 + PostgREST .or 체이닝 AND + NULL-safe 제외)이 변경 범위 대비 효과가 크고, 클라이언트 공백 처리도 API로 일원화되어 합리적이다. 다만 데이터 규모가 커지거나 랭킹/검색 품질 요구가 증가하면 FTS(tsvector) 또는 RPC로 검색 규칙을 DB 레이어로 이동하는 방안을 고려하는 것이 장기적으로 안정적이다.

route.ts 토큰 AND 부분검색 + phrase 기반 정확검색 + NULL-safe 중복 제외 +54/-33

토큰 AND 부분검색 + phrase 기반 정확검색 + NULL-safe 중복 제외

• 검색 타입별 대상 컬럼 매핑과 토큰화/패턴 생성 헬퍼를 추가해 필터 구성을 단순화했다. 정확 검색은 공백 토큰을 %로 연결한 phrase 패턴으로 띄어쓰기 차이를 무시해 매칭한다. 부분 검색은 토큰별 컬럼 OR 그룹을 .or()로 체이닝해 AND 조건을 만들고, nullable 컬럼에서 NOT ILIKE가 NULL로 누락되던 문제를 'not.ilike OR is.null'로 보정해 정확 티어 중복을 안전하게 제외한다.

apps/web/src/app/api/search/route.ts

---

useSearchSong.ts 한글 공백 제거 로직 삭제로 검색어 공백을 API에 그대로 전달 +2/-6

한글 공백 제거 로직 삭제로 검색어 공백을 API에 그대로 전달

• 기존의 '한글 포함 시 공백 제거' 전처리를 제거해 사용자 입력 공백을 보존한다. 공백 처리 및 토큰화 책임을 /api/search로 이동시켜 클라이언트-서버 간 검색 규칙을 일원화한다.

apps/web/src/hooks/useSearchSong.ts

---