API CSRF 보호 수정 + JS CSRF 토큰 전송

ID: 4062e079-629f-4193-a6aa-6c8684c06fe5

긴급 완료

## 작업 내용
1. app/controllers/api/bible/highlights_controller.rb에서 `skip_before_action :verify_authenticity_token` 제거
2. JS fetch 호출에서 X-CSRF-Token 헤더 포함하도록 수정
3. 관련 Stimulus 컨트롤러/JS 파일에서 CSRF 토큰 전송 추가
4. 기존 테스트 수정 (CSRF 토큰 포함)

## 완료 기준
- skip_before_action 제거
- JS에서 CSRF 토큰 전송
- 전체 테스트 통과 (bin/rails test)

첨부 이미지

이미지 추가 (Ctrl+V로 붙여넣기 또는 클릭)

JPEG, PNG, GIF, WebP / 최대 10MB

담당자: csrf-fixer

생성일: 2026년 03월 03일 05:46

부모 티켓 보안+성능 일괄 수정 (CSRF, IDOR, N+1) (84934226)

활동 로그

팀

팀리드 상태 변경: 리뷰 → 완료

2026년 03월 03일 05:55:12
C

csrf-fixer 상태 변경: 할 일 → 리뷰

2026년 03월 03일 05:51:41
C

csrf-fixer CSRF 보호 수정 완료

2026년 03월 03일 05:51:37

상세 보기

## 변경 사항
- `app/controllers/api/bible/highlights_controller.rb` - `skip_before_action :verify_authenticity_token` 제거

## JS 확인
- `app/javascript/controllers/bible_passage_controller.js`에서 이미 모든 POST/DELETE에 X-CSRF-Token 헤더 포함
- selectColor() (L405), removeHighlight() (L436)
- JS 수정 불필요

## 테스트
- highlights 테스트: 11 runs, 23 assertions, 0 failures
- 전체: 515 runs, 1235 assertions, 0 failures, 0 errors