User 서비스 내부 시퀀스 다이어그램 개선

- 회원가입: 사업자번호 암호화 위치 명시, 성능 지표 추가, 에러 코드 표준화 (USER_001, USER_002)
- 로그인: 비동기 처리 설명 추가, Rate Limiting 보안 강화, 성능 목표 추가, 에러 코드 표준화 (AUTH_001)
- 프로필수정: 트랜잭션 범위 명확화, Optimistic Locking 추가, 동시성 제어, 에러 코드 표준화 (USER_003~005)
- 로그아웃: API Gateway 연계 시나리오, 로그아웃 이벤트 발행, 성능 목표 추가, 에러 코드 표준화 (AUTH_002)
- .gitignore 추가: .npm-global 및 기타 임시 파일 제외

🤖 Generated with [Claude Code](https://claude.com/claude-code)

Co-Authored-By: Claude <noreply@anthropic.com>

design/backend/sequence/inner/user-로그인.puml

@@ -47,7 +47,7 @@ deactivate Service
 
 alt 사용자 없음
     AuthService --> Controller: throw AuthenticationFailedException\n("전화번호 또는 비밀번호를 확인해주세요")
-    Controller --> Client: 401 Unauthorized\n{"error": "전화번호 또는 비밀번호를\n확인해주세요"}
+    Controller --> Client: 401 Unauthorized\n{"code": "AUTH_001",\n"error": "전화번호 또는 비밀번호를\n확인해주세요"}
     deactivate AuthService
     deactivate Controller
 
@@ -63,7 +63,7 @@ else 사용자 존재
 
     alt 비밀번호 불일치
         AuthService --> Controller: throw AuthenticationFailedException\n("전화번호 또는 비밀번호를 확인해주세요")
-        Controller --> Client: 401 Unauthorized\n{"error": "전화번호 또는 비밀번호를\n확인해주세요"}
+        Controller --> Client: 401 Unauthorized\n{"code": "AUTH_001",\n"error": "전화번호 또는 비밀번호를\n확인해주세요"}
         deactivate AuthService
         deactivate Controller
 
@@ -92,6 +92,7 @@ else 사용자 존재
         **비동기 처리**
         - @Async 어노테이션 사용
         - 로그인 응답 지연 방지
+        - 별도 스레드풀에서 실행
         end note
         Service ->> UserRepo: updateLastLoginAt(userId)
         activate UserRepo
@@ -104,6 +105,12 @@ else 사용자 존재
         Service -->> AuthService: void (비동기 완료)
         deactivate Service
 
+        note over AuthService, Service
+        **비동기 화살표 설명**
+        - `->>`: 비동기 호출 (호출 후 즉시 반환)
+        - `-->>`: 비동기 응답 (별도 스레드에서 완료)
+        end note
+
         == 6단계: 응답 반환 ==
 
         AuthService -> AuthService: 응답 DTO 생성\n(LoginResponse)
@@ -118,12 +125,23 @@ end
 note over Controller, UserDB
 **보안 처리**
 - 비밀번호: bcrypt compare (원본 노출 안 됨)
-- 에러 메시지: 전화번호/비밀번호 구분 없이 동일 메시지 반환 (보안 강화)
+- 에러 메시지: 전화번호/비밀번호 구분 없이 동일 메시지 반환 (Timing Attack 방어)
 - JWT 토큰: 7일 만료, 서버 세션과 동기화
 
+**보안 강화 (향후 구현)**
+- Rate Limiting: IP당 5분에 5회 로그인 실패 시 임시 차단 (15분)
+- Account Lockout: 동일 계정 10회 실패 시 계정 잠금 (관리자 해제)
+- MFA: 2단계 인증 추가 (SMS/TOTP)
+- Anomaly Detection: 비정상 로그인 패턴 감지 (지역, 디바이스 변경)
+
 **성능 최적화**
 - 최종 로그인 시각 업데이트: 비동기 처리 (@Async)
-- 응답 시간: 0.5초 목표
+- 평균 응답 시간: 0.5초 이내
+- P95 응답 시간: 1.0초 이내
+- Redis 세션 조회: 0.1초 이내
+
+**에러 코드**
+- AUTH_001: 인증 실패 (전화번호 또는 비밀번호 불일치)
 end note
 
 @enduml