파일 API: S3/Supabase Storage + presigned

uploads/        — 사용자 업로드 (Private + RLS)
public/         — 정적 (Public)
generated/      — AI 생성 (Private)
exports/        — 데이터 내보내기 (Signed URL TTL 1시간)

// src/app/(app)/files/actions.ts
'use server'
import { createClient } from '@/lib/supabase/server'

export async function uploadFile(formData: FormData) {
  const file = formData.get('file') as File
  if (!file) return { error: '파일 없음' }
  if (file.size > 10 * 1024 * 1024) return { error: '10MB 초과' }
  if (!['image/png', 'image/jpeg', 'image/webp'].includes(file.type)) {
    return { error: '이미지만 가능' }
  }

  const supabase = await createClient()
  const { data: { user } } = await supabase.auth.getUser()
  if (!user) return { error: 'unauthorized' }

  const ext = file.name.split('.').pop()
  const path = `${user.id}/${Date.now()}.${ext}`

  const { error } = await supabase.storage
    .from('uploads')
    .upload(path, file, { contentType: file.type })

  if (error) return { error: error.message }

  // DB에 메타 저장
  await supabase.from('files').insert({
    user_id: user.id,
    path,
    size: file.size,
    mime_type: file.type,
  })

  return { success: true, path }
}

// src/app/api/files/presigned/route.ts
// 클라이언트가 Supabase에 직접 업로드 → 서버 부하 X
import { createClient } from '@/lib/supabase/server'

export async function POST(request: Request) {
  const { filename, content_type } = await request.json()
  const supabase = await createClient()
  const { data: { user } } = await supabase.auth.getUser()
  if (!user) return new Response('unauthorized', { status: 401 })

  const path = `${user.id}/${Date.now()}-${filename}`
  const { data, error } = await supabase.storage
    .from('uploads')
    .createSignedUploadUrl(path)

  if (error) return new Response(error.message, { status: 500 })
  return Response.json({ token: data.token, path })
}

// 클라이언트
const { token, path } = await fetch('/api/files/presigned', {
  method: 'POST',
  body: JSON.stringify({ filename: file.name, content_type: file.type }),
}).then(r => r.json())

await supabase.storage.from('uploads').uploadToSignedUrl(path, token, file)

// 1시간 유효
const { data } = await supabase.storage
  .from('uploads')
  .createSignedUrl(path, 3600)

// data.signedUrl → <img src={...} />

const { data } = supabase.storage
  .from('uploads')
  .getPublicUrl(path, {
    transform: {
      width: 400,
      height: 300,
      resize: 'cover',
      quality: 80,
      format: 'webp',
    },
  })

// Server Action
'use server'
export async function deleteFile(path: string) {
  const supabase = await createClient()
  const { data: { user } } = await supabase.auth.getUser()
  if (!user) return { error: 'unauthorized' }

  // 본인 파일 확인 (path가 userId로 시작)
  if (!path.startsWith(`${user.id}/`)) return { error: 'forbidden' }

  await supabase.storage.from('uploads').remove([path])
  await supabase.from('files').delete().eq('path', path)
  return { success: true }
}

✓ MIME 타입 화이트리스트
✓ 파일 크기 제한
✓ 확장자 검증 (.exe·.sh 차단)
✓ 사용자별 폴더 (RLS)
✓ Public bucket 최소화
✓ Signed URL TTL 짧게
✓ 파일명 sanitize (../ 제거)
✓ 바이러스 스캔 (큰 서비스)
✓ Rate limit (분당 N개)

// 100MB+ 파일은 chunk 단위 (resumable)
import * as tus from 'tus-js-client'

const upload = new tus.Upload(file, {
  endpoint: `${SUPABASE_URL}/storage/v1/upload/resumable`,
  retryDelays: [0, 3000, 5000, 10000, 20000],
  headers: { authorization: `Bearer ${session.access_token}` },
  uploadDataDuringCreation: true,
  metadata: { bucketName: 'uploads', objectName: path, contentType: file.type },
  chunkSize: 6 * 1024 * 1024,
})
upload.start()