[🧑‍💻] Secret Messenger 개발 일지 #1: Flutter Web + Node (Vibe Coding Test)

✨ GPT의 요약 　

중국 내 탈북민을 위한 보안 중심 메신저의 기술 구조 및 보안 설계를 완료하고, Flutter Web + Node 기반의 MVP 개발 플랜을 작성한 하루.

🧮 Secret Messenger

중국 내에서 신분증 없이 살아가는 탈북민 사용자들을 위한 메신저입니다.

• 📱 설치 없이 브라우저로 접속 가능하며
• 💬 정보 수신, 비밀 대화, 파일 공유가 가능한
• 🛡️ Flutter Web 기반 보안 중심 커뮤니케이션 툴입니다.

본 프로젝트는 정치적 목적이 아닌 인권 보호와 생존 지원을 위한 기술 실험이며,
공개 배포 또는 상업적 활용을 전제로 하지 않습니다.
(🔒 GitHub Private Repo로만 관리됩니다.)

---

📌 프로젝트 개요

항목	내용
사용자	디지털 문해력이 매우 낮고, 휴대폰을 공안에게 감시받는, 중국 내 탈북민
목표	정보 공유, 비밀 채팅, 안전한 파일 공유
형태	설치 필요 없는, 브라우저 기반의 Flutter Web SPA
도메인	https://???.net (계산기 UI 위장)
UI 위장 전략	계산기처럼 보이는 첫 화면 → 특정 연산 입력 시 서버에 진입 요청
진입 방식	Flutter Web은 진입 키를 서버에 POST하고, 서버가 판단 후 접근 토큰 발급
코드 보안 전략	민감한 조건/로직은 클라이언트에 포함되지 않고, 모두 서버 측에서 판단
기능 우선순위	① 정보 수신 → ② 채팅 → ③ 파일 공유

---

🧪 바이브 코딩 실험 프로젝트

이 프로젝트는 동시에 바이브 코딩(Vibe Coding)이라는 개발 방식의
실전 적용 가능성과 한계를 실험하는 MVP입니다.

• 자연어로 설계 및 구현을 진행하며, 대부분의 코드 생성은 AI의 도움으로 수행됩니다.
• 사용자는 실제 코드를 작성하기보단 “설계자/조율자”의 역할을 수행합니다.
• 목표는 AI 주도 개발의 효율성과 위험 요소를 현실에서 평가하는 것입니다.

이 실험을 통해 향후 AI 기반 개발 방식의 미래를 탐색하고,
실제 인권 프로젝트에 적용 가능한 수준인지 검증합니다.

---

⚙️ 기술 스택

🔷 프론트엔드 (Flutter Web)

• Flutter 3.x (Web build)
• Material 3 (계산기 UI 위장에 최적)
• go_router (페이지 전환 및 숨겨진 진입 구성)
• Riverpod (상태 관리: UUID, 세션 등)
• http (REST API 통신)

🔍 UI 전략

• 초기 화면: 계산기 형태의 TextField + 버튼 그리드
• 특정 연산 입력 → 서버로 전송 → 유효 시 내부 진입 허용
• 클라이언트에는 진입 트리거나 로직이 포함되지 않음

---

🔷 백엔드 (Node.js + Express)

• Node.js 18+
• Express.js (REST API 서버)
• SQLite (파일 기반 로컬 DB)
• Multer (파일 업로드)
• node-cron (TTL 기반 삭제 스케줄러)
• CORS, helmet, rate-limit 등 보안 미들웨어 구성

📁 주요 API

• POST /check-trigger
  • 입력된 문자열을 서버가 확인
  • 사전 등록된 트리거 조건과 일치하면 세션 토큰 발급
• GET /session/:id 또는 /inbox/:key
  • 서버가 발급한 세션 키를 가진 사용자만 내부 기능 접근 가능
• POST /message, GET /messages
  • TTL 기반 메시지 저장/조회
• POST /upload, GET /file/:id
  • 파일 업로드 및 자동 삭제 지원

---

🔷 인프라 / 배포

• Docker (서버 환경 일관화 및 이식성 확보)
• Ubuntu 22.04 LTS (Vultr VPS)
• Vultr VPS (홍콩 리전) — 중국 접속 안정성 확보
• Cloudflare (DNS 프록시 + SSL + IP 은폐)
• 도메인: ???.net — 계산기 위장용 도메인

---

🔐 보안 전략

항목	설명
코드 분리	진입 로직, 트리거 등 민감 코드는 서버 전용
Flutter Web 역할 제한	UI 렌더링과 입력 전송만 수행
HTTPS 강제	Cloudflare + Let’s Encrypt
Cloudflare 프록시	서버 IP 은폐 및 DDOS 방어
CORS 제한	허용된 도메인 외 요청 차단
no-cache 정책	모든 응답에 no-store 헤더 적용
메시지 TTL	생성 시간 기반 자동 삭제
파일 TTL	업로드 후 정해진 시간 내 삭제 (node-cron 처리)
로컬 저장 제한	localStorage/cookie 최소화 or 사용 금지

---

🗂️ 기능 목록

기능	상태	설명
🧊 위장 UI	🟢 구현 중	계산기 UI로 위장, 서버 통한 진입 조건 적용
📥 정보 수신	🟢 준비 중	관리자 공지 (읽기 전용)
💬 채팅방	🟡 개발 예정	익명 그룹 채팅 (TTL 기반)
📁 파일 공유	🟡 개발 예정	자동 삭제 설정된 파일 공유
🔥 삭제 시스템	🟡 개발 예정	메시지/파일 TTL 삭제 자동화

---

🚀 개발 단계 로드맵

• ⚙️ 시스템 구조 설계 및 보안 모델 수립
• 📌 기술 스택 확정 + 위장 전략 결정
• 🌐 도메인 구매 (???.net)
• 🔨 Flutter Web 계산기 scaffold
• 🔨 Express + SQLite API scaffold
• 🔐 진입 키 서버 처리 구조 구축
• 📦 Docker + 배포 자동화
• 🌐 VPS 배포 + Cloudflare 통합
• 🧪 MVP 테스트
• 🎯 안정화 및 내부 배포

---

📄 참고 사항

• GitHub에는 민감한 코드나 정보를 절대로 커밋하지 않습니다.
• 배포용 Flutter 코드는 build/ 디렉토리로, 서버 코드는 오직 Docker 컨테이너 내에서만 실행됩니다.
• 모든 API 통신은 HTTPS로 암호화되며, 사용자 데이터는 TTL 설정 이후 자동 폐기됩니다.
• 계산기 진입 키, 사용자 UUID 등 민감 정보는 프론트엔드에 절대 포함되지 않으며, 서버 내부의 비공개 검증 키를 기반으로만 처리됩니다.
• 진입 조건 확인 및 사용자 식별은 서버 측에서만 수행되는 단방향 검증 로직으로 구성되어, Flutter Web 코드가 노출되더라도 보안 정보는 외부에 드러나지 않습니다.

---

👤 개발자 메모

이 프로젝트는 단순한 앱이 아니라,
어떤 이들에겐 삶과 연결되는 생존 도구일 수 있다는 마음으로 시작합니다.

기술이 감시의 도구가 아닌,
자유를 위한 도구가 될 수 있도록.

---

💭 일기

나는 무엇을 위해 사는가? 부와 명예? 아니, 그런 종류의 것들은 애초에 목표가 될 수 없는 허상이다. 오로지 수단일 뿐이다.

내가 진정으로 원하는 삶은 무엇인가? … 글쎄, 정의내리지는 못하겠다. 어쨌든 하나님 사랑 / 이웃 사랑 이라는 큰 범주 안에 포함되는 삶이라는 것은 명확하다.

어쨌든, 이 프로젝트가 내 심장을 뛰게 하고 희열을 느끼게 하는 것을 보면, 지금 당장 내가 가장 하고 싶었던 것은 이러한 종류의 것들이 맞을 것이다.

그러니, 일단 이것부터 시작하자.