- CookieCsrfTokenRepository.saveToken()이 한 번도 호출되지 않아 브라우저가
  XSRF-TOKEN 쿠키를 영영 못 받던 문제를 Spring Security 레퍼런스가 SPA용으로
  제시하는 방식대로 고쳤다. BasicAuthenticationFilter 뒤에 지연 토큰을 강제
  resolve하는 필터를 추가하고, 기본 XorCsrfTokenRequestAttributeHandler가
  BREACH 마스킹 때문에 쿠키 원문과 헤더 값을 불일치시키던 문제를
  SpaCsrfTokenRequestHandler로 해결했다(헤더 존재 시 마스킹 해제 없이 신뢰,
  파라미터 기반 검증은 기존 Xor 위임 유지).
- "로그인 엔드포인트는 인증없이 접근할 수 있다" 테스트가 permitAll() 삭제와
  무관하게 항상 같은 401을 반환해 아무것도 증명하지 못하던 문제를, 인증 실패와
  인가 차단이 세션 생성 여부에서 실제로 다르다는 점(ExceptionTranslationFilter의
  RequestCache)으로 구분하도록 재작성했다.
- AdminProperties record의 toString()이 비밀번호를 그대로 노출하지 않도록
  마스킹했다.
- formLogin에 커스텀 loginPage를 지정해 DefaultLoginPageGeneratingFilter가
  "/login"을 가로채지 않도록(3단계 SPA 클라이언트 라우트 확보) 했다.
- CSRF 쿠키 왕복 회귀 테스트, 토큰 누락 시 응답 코드, 로그인 페이지 미노출을
  검증하는 테스트 3건을 추가했다. with(csrf())가 캐시된 컨텍스트의 CsrfFilter
  빈을 영구히 세션 기반으로 바꿔치기하는 부작용이 있어 @TestMethodOrder로 실행
  순서를 고정했다.

Co-Authored-By: Claude Opus 4.8 (1M context)