Merge branch 'main' of https://gitea.o2o.kr/Web4ai/o2o-site-AEO

solution/backend/services/external/threads.py

@@ -8,6 +8,11 @@ import httpx
 from services.external.social import SocialError, SocialOutcomeUnknown, weighted_length
 
 BASE = "https://graph.threads.net/v1.0"
+# ★ OAuth 토큰 엔드포인트는 **버전 접두어가 없고 토큰을 쿼리 파라미터로 받는다.**
+#   데이터 엔드포인트(/me, /me/threads)와 규칙이 다르다 — 거기서만 Bearer 헤더가 통한다.
+#   실측(2026-09-18): 장기 토큰 교환을 `/v1.0/access_token` + Bearer 로 부르자
+#   `[4279019] Session key invalid` 로 거절당해 연결이 매번 실패했다.
+OAUTH_BASE = "https://graph.threads.net"
 SCOPES = {"threads_basic", "threads_content_publish"}
 
 
@@ -42,8 +47,18 @@ def _read(res):
         raise SocialError("THREADS_INVALID_RESPONSE") from ex
     if res.status_code >= 400 or data.get("error"):
         error = data.get("error") or {}
+        # ★ 플랫폼이 준 사유를 코드에 붙인다. `THREADS_REJECTED_400` 만으로는 무엇이 틀렸는지
+        #   알 수 없어서 — 코드가 만료됐는지, 리디렉션 URI 가 안 맞는지, 권한이 모자란지 —
+        #   실제로 원인을 좁히지 못했다(실측 2026-09-18: 연결 실패가 400 이라는 것만 알고
+        #   Meta 가 뭐라고 했는지는 어디에도 안 남아 세 번을 헛짚었다).
+        # ★ 남기는 것은 message·subcode 뿐이다. 토큰·시크릿·code 는 담지 않는다 —
+        #   이 문자열은 로그로 가고, 로그는 우리가 아닌 사람도 본다.
+        detail = str(error.get("message") or "")[:160]
+        subcode = error.get("error_subcode") or error.get("code")
         raise SocialError(
-            f"THREADS_REJECTED_{res.status_code}",
+            f"THREADS_REJECTED_{res.status_code}"
+            + (f"[{subcode}]" if subcode else "")
+            + (f" {detail}" if detail else ""),
             reauth=error.get("code") == 190 or res.status_code == 401,
         )
     return data
@@ -52,7 +67,7 @@ def _read(res):
 async def exchange(code, verifier, *, client):
     short = _read(
         await client.post(
-            f"{BASE}/oauth/access_token",
+            f"{OAUTH_BASE}/oauth/access_token",
             data={
                 "client_id": config.required("THREADS_APP_ID"),
                 "client_secret": config.required("THREADS_APP_SECRET"),
@@ -64,12 +79,12 @@ async def exchange(code, verifier, *, client):
     )
     result = _read(
         await client.get(
-            f"{BASE}/access_token",
+            f"{OAUTH_BASE}/access_token",
             params={
                 "grant_type": "th_exchange_token",
                 "client_secret": config.required("THREADS_APP_SECRET"),
+                "access_token": short["access_token"],
             },
-            headers={"Authorization": f"Bearer {short['access_token']}"},
         )
     )
     token = result["access_token"]
@@ -82,9 +97,17 @@ async def exchange(code, verifier, *, client):
             },
         )
     )["data"]
+    # ★ `app_id` 로 우리 앱 토큰인지 대조하던 줄을 뺐다. Threads 의 debug_token 응답에는
+    #   그 필드가 **없다**(실측 2026-09-18: is_valid·scopes·type·user_id·application 뿐).
+    #   없는 값을 `str(None)` 과 비교하니 **항상 불일치**였다 — 장기 토큰을 제대로 받아도
+    #   바로 다음 줄에서 THREADS_SCOPES_REQUIRED 로 떨어지는, 통과할 수 없는 검사였다.
+    #   ★ 그렇다고 검사를 통째로 버리지 않는다: 응답에 app_id 가 있으면(다른 플랫폼·향후 변경)
+    #     그때는 대조한다. 이 토큰은 우리 client_secret 으로 우리가 교환해 받은 것이라
+    #     남의 앱 토큰이 섞일 경로가 이 함수 안에는 없다.
+    app_id = debug.get("app_id")
     if (
         not debug.get("is_valid")
-        or str(debug.get("app_id")) != config.required("THREADS_APP_ID")
+        or (app_id is not None and str(app_id) != config.required("THREADS_APP_ID"))
         or not SCOPES.issubset(set(debug.get("scopes", [])))
     ):
         raise SocialError("THREADS_SCOPES_REQUIRED", reauth=True)
@@ -95,11 +118,15 @@ async def exchange(code, verifier, *, client):
 
 
 async def refresh(token, *, client):
+    # ★ 갱신도 OAuth 엔드포인트다 — 버전 접두어 없이, 토큰은 쿼리 파라미터로.
+    #   Bearer 헤더로 보내면 플랫폼이 **헤더를 읽지 않고** `The parameter access_token is
+    #   required.` 로 거절한다(실측 2026-09-18, 같은 토큰으로 두 형식 대조).
+    #   ★ 이건 연결 당시에는 안 드러나고 **60일 뒤 갱신에서** 터지는 종류다 —
+    #     그때는 사장님 계정이 조용히 만료돼 게재만 멈춘다.
     result = _read(
         await client.get(
-            f"{BASE}/refresh_access_token",
+            f"{OAUTH_BASE}/refresh_access_token",
-            params={"grant_type": "th_refresh_token"},
+            params={"grant_type": "th_refresh_token", "access_token": token},
-            headers={"Authorization": f"Bearer {token}"},
         )
     )
     if not result.get("access_token") or int(result.get("expires_in", 0)) <= 0: