fix/KD3-278: 발표자료 목록 분반 권한 검증

[sunzx0428]

Summary

Closes #264

GET /api/v1/milestones/{milestoneId}/presentations에서 발표자료를 읽기 전에 마일스톤의 분반을 확인합니다. 해당 분반의 활성 학생 또는 담당 교수만 조회할 수 있으며, 그 외 사용자는 403을 받습니다.

Tasks

• 활성 학생 수강 정보 또는 담당 교수 소유 분반 여부를 검사하도록 변경
• 다른 분반 학생·교수, 비활성 학생, 조교의 조회 거부 테스트 추가
• Swagger에 조회 권한과 403 응답 명시

To Reviewer

• 분반 권한 검사는 팀별 발표자료와 presigned URL 조회보다 먼저 실행됩니다.
• Java 17에서 SubmissionFacadeTest 41개 및 JaCoCo 검증이 통과했습니다.
• Notion: https://app.notion.com/p/KD3-278-3eb4884d210f8025bd6cf2e12145970e

[Copilot]

Copilot was unable to review this pull request because the user who requested the review has reached their quota limit.

[coderabbitai]

Important

• 🔍 Trigger review

This repository does not receive automatic reviews because it has fewer than 10 stars.

⚙️ Run configuration

Configuration used: Repository: kgu-developers/aics-team-project-server/.coderabbit.yaml

Review profile: CHILL

Plan: Advanced

Run ID: 3b990bf3-50e3-49a6-9622-2a43b4235c95

---

Thanks for using CodeRabbit! It's free for OSS, and your support helps us grow. If you like it, consider giving us a shout-out.

❤️ Share

• X
• Mastodon
• Reddit
• LinkedIn

_{Comment @coderabbitai help to get the list of available commands.}

[github-actions]

Test Coverage Report

Overall Project	91.72%	🍏
Files changed	100%	🍏

Module	Coverage
aics-api	91.49%	🍏

Files

Module	File	Coverage
aics-api	SubmissionFacade.java	88.94%	🍏

[hoTan35]

4대 렌즈(경계값, 상태 불변성, 에러 계약, 테스트 격리) 기준으로 검토 완료했습니다.

1. 권한 및 경계값 검증: 분반의 활성 학생(ACTIVE + STUDENT) 및 담당 교수만 허용하고 타 분반 사용자, 수강철회자, 조교를 명확히 403 차단하는 로직이 도메인 규칙과 잘 부합합니다.
2. 효율성: validatePresentationMilestone에서 Milestone 객체를 직접 반환하도록 리팩터링하여 중복 DB 조회 없이 sectionId를 깔끔하게 추출한 점이 좋습니다.
3. 선제 차단: 팀 발표자료 조회 및 Presigned URL 발급 전 가장 먼저 분반 권한을 검사하므로, 불필요한 S3 URL 발급 및 데이터 노출이 원천 차단됩니다.
4. 테스트 및 문서화: Swagger 403 응답 명시와 함께 시나리오별 5건의 테스트가 추가되었으며, 로컬 빌드 및 전체 테스트(41개), JaCoCo 커버리지 통과를 확인했습니다.

LGTM! 수고하셨습니다.