feat(backend): 임시 저장·서명(그림)·받는 사람 추천 API와 MAIL_008

- /api/drafts: 발송과 같은 준비(정화·한도)로 초안을 만들고, 바꿔 저장은 새로 만들어 다시 읽은 뒤 옛것을 지운다.
  만들기와 지우기를 한 요청에 넣지 않는다 — 엔진이 만들기가 실패해도 지우기를 해서 저장본이 사라졌다.
  옛 초안이 이미 없으면 409 MAIL_008(새 코드), 초안이 아닌 id 는 404 RES_001 로 아무것도 지우지 않는다.
- 사용자 메일의 영구 삭제(교체한 옛 초안 · 보낸 뒤 draftId · 휴지통 영구 삭제)는 대상인지 확인한 상태 그대로일 때만
  ifInState 로 지운다 — 확인과 지우기 사이에 다른 탭이 옮긴 메일까지 지우지 않게 (Stalwart 0.16.27 에서 확인)
- /api/mail-signature: 서명(DB)과 그림(업로드 볼륨). 그림은 확장자·MIME·매직 바이트·크기·가로세로를 보고,
  보낼 때 multipart/related 의 cid 그림으로 싣는다. 서명 저장은 사용자별로 잠가 차례로 한다
- /api/recipient-suggestions: 로그인한 직원 기록(mail_directory)과 내 메일함의 최근 주소로 추천, 사용자별 10분 캐시
- 본문 그림은 첨부 표시에서 뺀다(hasAttachment 직접 계산 · isInline), 예외 필터 로그의 검색어(q)는 길이만 남긴다
- 마이그레이션 AddMailSignaturesAndDirectory: 새 표 3개만 만든다

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

backend/src/app.setup.ts

@@ -8,37 +8,57 @@ import type { IncomingMessage } from 'http';
 import { HttpExceptionFilter } from '@/common/filters/http-exception.filter';
 import { TransformInterceptor } from '@/common/interceptors/transform.interceptor';
 import { requestIdMiddleware } from '@/common/middleware/request-id.middleware';
-import { MESSAGES_ROUTE } from '@/modules/mail/mail.constants';
+import { DRAFTS_ROUTE, MESSAGES_ROUTE } from '@/modules/mail/mail.constants';
 import { resolveTrustProxy } from '@/shared/utils/trust-proxy';
 
 /** 글로벌 prefix — 모든 라우트가 /api/* (클라이언트 baseURL 과 일치) */
 export const API_PREFIX = 'api';
 
 /**
- * JSON 본문 최대 크기 — 발송(`POST /api/messages`)을 뺀 모든 API.
+ * JSON 본문 최대 크기 — 발송(`POST /api/messages`)·임시 저장(`POST /api/drafts`·`PUT /api/drafts/{id}`)을 뺀 모든 API.
  * 텍스트 본문 100,000자(한글은 UTF-8 로 3바이트라 약 300KB)도 이 안에 든다 (기본값 100KB 로는 잘린다).
  */
 export const JSON_BODY_LIMIT = '1mb';
 
 /**
- * 발송 요청(`POST /api/messages`)의 JSON 본문 최대 크기 (계약 2절) — 서식 본문(최대 500,000자: 한글이면 약 1.5MB 에
+ * 발송·임시 저장 요청의 JSON 본문 최대 크기 (계약 2절) — 서식 본문(최대 500,000자: 한글이면 약 1.5MB 에
  * JSON 이스케이프가 더해진다)과 텍스트 대체 본문(최대 100,000자)이 함께 오고, 답장·전달은 원문 인용이 길다.
- * 앞단 nginx 도 이 경로만 4m 으로 둔다 (release-ops). 넘으면 413 FILE_002.
+ * 임시 저장 본문은 발송 본문과 같은 필드·한도라 같은 파서를 쓴다.
+ * 앞단 nginx 도 이 경로들을 같은 값(4m)으로 둬야 한다 (release-ops — frontend/nginx.conf). 넘으면 413 FILE_002.
  */
 export const SEND_MESSAGE_JSON_BODY_LIMIT = '4mb';
 
 const SEND_MESSAGE_PATH = `/${API_PREFIX}/${MESSAGES_ROUTE}`;
+const DRAFTS_PATH = `/${API_PREFIX}/${DRAFTS_ROUTE}`;
+
+/** 라우터가 보는 경로 — Express 처럼 대소문자·끝의 '/' 를 가리지 않고 쿼리는 뺀다 */
+function routedPath(req: Pick<IncomingMessage, 'url'>): string {
+  return (req.url ?? '').split('?')[0].replace(/\/+$/, '').toLowerCase();
+}
 
 /**
  * 발송 요청인가 — `POST /api/messages`.
- * 라우터가 발송 핸들러로 보내는 모양이면 모두 해당한다: Express 처럼 대소문자·끝의 '/' 를 가리지 않고 쿼리는 뺀다.
+ * 라우터가 발송 핸들러로 보내는 모양이면 모두 해당한다.
  */
 export function isSendMessageRequest(
   req: Pick<IncomingMessage, 'method' | 'url'>,
 ): boolean {
-  if (req.method !== 'POST') return false;
-  const path = (req.url ?? '').split('?')[0].replace(/\/+$/, '').toLowerCase();
-  return path === SEND_MESSAGE_PATH;
+  return req.method === 'POST' && routedPath(req) === SEND_MESSAGE_PATH;
+}
+
+/**
+ * 임시 저장 요청인가 — `POST /api/drafts`(처음 저장) · `PUT /api/drafts/{id}`(바꿔 저장). 조회(GET)는 본문이 없다.
+ */
+export function isDraftSaveRequest(
+  req: Pick<IncomingMessage, 'method' | 'url'>,
+): boolean {
+  const path = routedPath(req);
+  if (req.method === 'POST') return path === DRAFTS_PATH;
+  if (req.method !== 'PUT' || !path.startsWith(`${DRAFTS_PATH}/`)) {
+    return false;
+  }
+  const id = path.slice(DRAFTS_PATH.length + 1);
+  return id !== '' && !id.includes('/');
 }
 
 /** JSON 본문인가 — body-parser 의 기본 판정('application/json', 매개변수는 보지 않는다)과 같다 */
@@ -81,14 +101,14 @@ export function configureApp(app: NestExpressApplication): void {
   // 요청(CSRF)은 본문이 비어 VAL_001 이 된다. JSON 요청은 CORS 사전 확인을 거치므로 화이트리스트가 막는다.
   // inflate=false: 압축된 요청 본문을 받지 않는다 (브라우저는 보내지 않는다 — 압축 폭탄·body-parser DoS 경로 차단)
   //
-  // 경로별 한도: 발송 요청만 4MB 파서가 읽고(type 판정으로 고른다), 나머지는 1MB 파서가 읽는다.
+  // 경로별 한도: 발송·임시 저장 요청만 4MB 파서가 읽고(type 판정으로 고른다), 나머지는 1MB 파서가 읽는다.
   // 같은 요청을 두 번 읽지 않는다 — body-parser 는 이미 다 읽은 요청을 건너뛴다(read.js 의 isFinished 확인).
   // 순서가 중요하다: 4MB 파서가 먼저여야 발송 본문이 1MB 파서에서 413 이 되지 않는다
   app.useBodyParser('json', {
     limit: SEND_MESSAGE_JSON_BODY_LIMIT,
     inflate: false,
     type: (req: IncomingMessage) =>
-      isSendMessageRequest(req) && isJsonBody(req),
+      (isSendMessageRequest(req) || isDraftSaveRequest(req)) && isJsonBody(req),
   });
   app.useBodyParser('json', { limit: JSON_BODY_LIMIT, inflate: false });