크리덴셜 스터핑을 그대로 재현하고,
막는 코드까지 공개합니다

// 취약한 로그인 API — 비밀번호가 일치하면 그걸로 끝.
// 다른 서비스에서 유출된 비밀번호 목록을 그대로 대입하는
// 크리덴셜 스터핑 공격에 그대로 뚫림(hydra로 직접 검증).
class PasswordOnlyLogin {
  constructor(userDb) {
    this.db = userDb; // { username: password }
  }

  login(username, password) {
    if (this.db[username] === password) {
      return { status: 'ok' };
    }
    return { status: 'invalid_credentials' };
  }
}

module.exports = { PasswordOnlyLogin };

// 해결책: 비밀번호 + 2차 인증(TOTP류) 둘 다 필요.
// 유출된 비밀번호가 100% 맞아도, 공격자는 실시간으로
// 바뀌는 2차 인증 코드를 모르므로 로그인 불가.
class MfaGuardedLogin {
  constructor(userDb, totpProvider) {
    this.db = userDb;
    this.totp = totpProvider; // .currentCode(username)
  }

  login(username, password, totpCode) {
    if (this.db[username] !== password) {
      return { status: 'invalid_credentials' };
    }
    if (totpCode !== this.totp.currentCode(username)) {
      return { status: 'invalid_credentials' }; // 어느쪽이 틀렸는지 알려주지 않음
    }
    return { status: 'ok' };
  }
}

module.exports = { MfaGuardedLogin };