멀쩡해 보이던 API 라우트에 숨어 있던 mass assignment2026-07-10요청 본문을 그대로 insert에 스프레드하던 Next.js Route Handler를 zod 화이트리스트 검증으로 바꾸기까지 — 코드 감사에서 발견한 문제와 해결 기록nextjszodsecuritysupabaseapi