코드리뷰 수정

backend/app/core/config.py

@@ -306,6 +306,43 @@ class Settings(BaseSettings):
         extra = "ignore"  # .env 파일의 추가 필드 무시
         env_file_encoding = "utf-8"
 
+    def validate_required(self) -> list[str]:
+        """필수 환경변수 누락 여부를 검사하고 경고 목록을 반환한다.
+
+        시작 시 lifespan에서 호출하여 운영자에게 조기 경보를 제공한다.
+        누락 시 예외를 발생시키지 않으므로 서비스 기동은 계속된다.
+        """
+        warnings: list[str] = []
+
+        # KIS API 키: 현재 모드에 맞는 키 필수
+        if not self.KOREA_INVESTMENT_APP_KEY:
+            warnings.append(
+                f"KIS_{self.KIS_MODE.upper()}_APP_KEY 미설정 — "
+                f"{'KIS_VIRTUAL_APP_KEY' if self.is_virtual_trading else 'KIS_REAL_APP_KEY'} 확인 필요"
+            )
+        if not self.KOREA_INVESTMENT_APP_SECRET:
+            warnings.append(
+                f"KIS_{self.KIS_MODE.upper()}_APP_SECRET 미설정"
+            )
+        if not self.KOREA_INVESTMENT_ACCOUNT_NUMBER:
+            warnings.append(
+                f"KIS_{self.KIS_MODE.upper()}_ACCOUNT_NO 미설정"
+            )
+
+        # DB / Redis
+        if "localhost" in self.DATABASE_URL and os.path.exists("/.dockerenv"):
+            warnings.append("DATABASE_URL에 localhost 포함 — Docker 환경에서 postgres 호스트명 확인 필요")
+
+        # MCP 검증 활성화 시 AI 키 필요
+        if self.MCP_VALIDATION_ENABLED and not self.ANTHROPIC_API_KEY:
+            from pydantic_settings import BaseSettings as _BS  # lazy import
+            # GEMINI_API_KEY는 config에 없으므로 환경변수 직접 확인
+            gemini_key = os.environ.get("GEMINI_API_KEY", "")
+            if not gemini_key:
+                warnings.append("MCP_VALIDATION_ENABLED=True 이지만 ANTHROPIC_API_KEY / GEMINI_API_KEY 미설정")
+
+        return warnings
+
 
 @lru_cache()
 def get_settings() -> Settings:

backend/app/core/logging_config.py

@@ -1,14 +1,36 @@
-"""공통 로깅 설정 — KST(Asia/Seoul) 타임존 포매터 제공."""
+"""공통 로깅 설정 — KST(Asia/Seoul) 타임존 포매터 + 민감 정보 마스킹 제공."""
 
 import logging
 import datetime
+import re
 import pytz
 
 KST = pytz.timezone("Asia/Seoul")
 
+# ── 민감 정보 마스킹 패턴 (API 키, 시크릿, 토큰, 계좌번호) ──────────────────────
+_MASK_PATTERNS = [
+    # Bearer 토큰
+    (re.compile(r'(Bearer\s+)[A-Za-z0-9\-_.]{20,}', re.I), r'\1***'),
+    # access_token 값
+    (re.compile(r'(access_?token[":\s=]+)[A-Za-z0-9\-_.]{20,}', re.I), r'\1***'),
+    # appsecret / app_secret 값
+    (re.compile(r'(app_?secret[":\s=]+)[A-Za-z0-9+/=]{10,}', re.I), r'\1***'),
+    # appkey / app_key 값 (8자 이상)
+    (re.compile(r'(app_?key[":\s=]+)[A-Za-z0-9]{8,}', re.I), r'\1***'),
+    # 계좌번호 (account_no / account_number)
+    (re.compile(r'(account[_\s]?(?:no|number)[":\s=]+)\d{6,}', re.I), r'\1***'),
+]
+
+
+def _mask_sensitive(text: str) -> str:
+    """로그 텍스트에서 API 키·토큰·계좌번호 등 민감 정보를 마스킹한다."""
+    for pattern, replacement in _MASK_PATTERNS:
+        text = pattern.sub(replacement, text)
+    return text
+
 
 class KSTFormatter(logging.Formatter):
-    """%(asctime)s 를 KST(UTC+9) 기준으로 출력하는 포매터."""
+    """%(asctime)s 를 KST(UTC+9) 기준으로 출력하고, 민감 정보를 마스킹하는 포매터."""
 
     def formatTime(self, record: logging.LogRecord, datefmt: str | None = None) -> str:
         ct = datetime.datetime.fromtimestamp(record.created, tz=KST)
@@ -16,3 +38,8 @@ class KSTFormatter(logging.Formatter):
             return ct.strftime(datefmt)
         t = ct.strftime(self.default_time_format)
         return self.default_msec_format % (t, record.msecs)
+
+    def format(self, record: logging.LogRecord) -> str:
+        """포맷팅 후 민감 정보 마스킹 적용."""
+        formatted = super().format(record)
+        return _mask_sensitive(formatted)