[DB] 트랜잭션 안에서 외부 I/O 를 기다리던 여덟 지점을 걷어낸다 [ #337 ]

[Danto7632]

요약

트랜잭션이 열린 채 외부 I/O(GitHub·Cloudflare·Docker·Thread.sleep)를 기다리던 여덟 지점을 걷어냈다(#337). 2026-09-08 dev 커넥션 풀 22분 고갈 사고와 같은 계열이다 — OSIV 를 끈 것(#313)은 SSE 한 경로를 막은 것이고, 이 구조 자체는 그대로 남아 있었다.

원칙: 외부 호출 먼저(tx 밖) → 결과만 짧은 tx 로 저장.

#	위치	전
A1	CodingAgentExecutionService	@Transactional(readOnly) 안에서 Docker CLI 최대 10분 → 커넥션 1개 10분 점유 × 동시 CODE 4~8
A2	DeploymentQueryService	FE 폴링 경로가 tx 안에서 GitHub Actions 호출(로그 다운로드 포함)
A3	ProjectQueryService	대시보드 개요가 tx 안에서 GitHub 2회 + 하위 목록 4개
A4	DomainBindingCommandService 5개 메서드	tx 안에서 Cloudflare + GitHub Pages + Thread.sleep 재시도
A5	ChangeService.record	tx 안에서 Docker exec 2회(그중 apk add git)
A6	PreviewSessionService 5개 메서드	@Scheduled + @Transactional 한 덩어리에서 컨테이너 제거
A7	AuthCommandService 3개	로그인·App 연동 tx 안에서 GitHub OAuth/User API
A8	ProjectCommandService	저장소 연결·삭제 tx 안에서 GitHub API

A9(승인→PR 머지)는 건드리지 않았다 — 설계 D8 의 의도이고, #336 이 GitHub 호출에 60초 상한을 걸어 뒀다.

외부 실패 시 동작이 이전과 같다는 근거

A4·A5·A8·A2 는 원래부터 외부 호출이 유일한 save 보다 앞에 있었다. 롤백이 아니라 순서가 이미 보장하고 있었고, RestClient.retrieve() 는 4xx 에서 던지므로 저장 줄에 도달하지 못한다. 경로별 저장이 한 건씩이라 원자성도 줄지 않는다.

롤백에 실제로 기대던 두 곳은 명시적으로 되살렸다:

1. AuthCommandService.linkGithubApp — 예전엔 installationId 를 먼저 반영하고 토큰 교환을 호출해, 교환 실패 시 롤백이 그 반영까지 되돌렸다. 외부 호출을 저장 앞으로 옮겨 같은 결과를 만들었다. 유저 조회는 외부 호출 앞에 남겨 "없는 유저면 code 소모 전에 404" 순서를 유지했다.
2. PreviewSessionService.expire() — 제거 실패 시 롤백이 상태 변경을 되돌려 세션이 ACTIVE 로 남아 다음 기회에 다시 회수됐다. 제거를 저장 앞으로 옮겨 동일하게 만들었다.

실패 경로 테스트: A4 5건(Cloudflare 4xx / Pages bind 4xx + DNS 보상삭제 / custom 4xx / unbind 4xx / verify 4xx → save·deleteById 미호출), A5·A6 3건, A7 2건, A8 2건.

증거

• 실측: CodingAgentConnectionHoldIntegrationTest — 가짜 CLI 실행 중 Hikari active 최솟값 0. 같은 테스트가 TransactionTemplate 으로 재현한 옛 구조에서는 ≥1. 실행 중 isActualTransactionActive() = false.
• 구조: ExternalIoTransactionBoundaryTest — Spring 이 런타임에 실제로 쓰는 AnnotationTransactionAttributeSource 로 A1~A8 전 메서드를 검사. ChangeService.record 에 @Transactional 을 되돌려 붙여 실제로 깨지는 것을 확인했다. 외부 호출이 없는 쓰기 경로는 트랜잭션을 유지한다는 반대 방향도 함께 고정.

API 동작 변화

HTTP 상태·오류 코드 변화 없음. 단 배치 경로의 실패 반열림이 달라진다:

• cleanupProjectS3Domains·releaseServerDomains·cleanupExpired·closeAllOwned — 건별 커밋이라 뒤쪽 한 건이 실패해도 앞서 성공한 것이 되돌아가지 않는다. 앞 둘은 주석이 이미 best-effort 라고 선언했는데 실제 동작이 어긋나 있던 것을 맞춘 것이다.
• loginWithGithub 의 저장 2건(유저·리프레시 토큰)이 더는 한 트랜잭션이 아니다. githubId 기준 멱등이라 재시도가 복구한다.
• A4 ensureHostnameAvailable→save 의 TOCTOU 창이 외부 호출 시간만큼 넓어진다. hostname UK 가 최종 방어라 결과는 같다.

deleteProject 는 로컬 정리(대화 삭제 + 프로젝트 삭제)가 갈라지면 대화만 사라진 프로젝트가 남으므로 트랜잭션이 필요하다 — 자기 호출로는 프록시가 안 걸려 ProjectDeletionService 로 분리했다(같은 패키지 RepositoryProvisioningService 와 같은 방식).

범위를 넘어 손댄 것 (같은 파일·같은 결함, 전부 1줄급)

createProject(템플릿 카탈로그가 RestClient HTTP), refreshGithubUserToken(자기 DB 작업 없이 REQUIRES_NEW 두 개를 감싸 커넥션을 하나 더 점유), releaseServerDomains.

검증

• 기준선 1488 전체 / 1476 통과 → 1511 전체 / 1499 통과 / 실패 0 / 스킵 12
• 3차 웨이브 5개 통합 후 1678 전체 / 1666 통과 / 실패 0

Closes #337

https://claude.ai/code/session_01APAyBZVYxUZzZsVyEXy6Qr