docs(clean-architecture-backend-template): 제1부가 채택한 것만 글감으로 남기고 다시 고른다
글감 1,001개 중 제1부(§3~§11) 앵커를 하나라도 가진 것은 112개뿐이었다. 나머지 889개는
제2부 모듈 분석 65편의 절 제목에서 나온 것이고, 그것이 재판정이 필요했던 이유다.
주제 44 → 16 (43개가 독자 질문 없이 있었다. 지금은 전부 있다)
글감 1,001 → 123 (제1부 앵커 112 + 제1부가 채택했는데 비어 있던 자리 11)
후보 965 → 1,088 · PENDING 905 → 0
error 3,042 → 0
내려온 889개는 후보 대장에 KEEP_IN_SSOT 로 남는다 — 버린 것이 아니라 분석에 남기고 독립
기록으로 만들지 않기로 한 것이다. 그 글감을 받치던 기록 파일 828개는 지웠다. 계약이 정본이고,
파일이 남아 있다는 이유로 계약에서 뺀 주제가 되살아나면 안 된다. 이력에는 그대로 있다 —
git checkout a0ca2bb -- <경로>.
제1부가 채택했는데 글감이 없던 자리 열하나를 채웠다: mongo high-water mark 가 재전달 이벤트를
삼킨 P1, admin plane 이 가드만 켜고 서비스는 켜지 않은 것과 그 짝인 결정, 실패 어휘 세 층과
SQLState 매트릭스 병합 규칙, 부하 아래에서만 새는 admission 경계, 발행 증거와 완료 판정의
분리, keyset·JSONB 결정 둘.
Concept 17개에 basis-version 을 채우고, 계약 제목과 기록 제목이 갈라져 있던 23건을 기록 쪽에
맞췄다. candidateScope 에 excludedAnchorPattern 을 적어 제2부 앵커만 가진 글감이 다시 올라올
수 없게 한다.
Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
This commit is contained in:
DongHyeonka
co-authored by
Claude Opus 5
Claude Opus 5
parent
a0ca2bb72a
commit
1f04117bbf
-102
@@ -1,102 +0,0 @@
|
||||
---
|
||||
kind: CONCEPT
|
||||
slug: four-multitenancy-strategies
|
||||
title: 네 가지 멀티테넌시 전략과 각각의 격리 경계
|
||||
topic: multitenancy-isolation
|
||||
project: clean-architecture-backend-template
|
||||
status: 게시 전
|
||||
sourceRevision: 21234e38cdb9a926cbc92bb97a2aee2e4a7d2916
|
||||
rootTreeNode: concept:four-multitenancy-strategies
|
||||
evidenceCapturedOn: 2026-09-01
|
||||
assets:
|
||||
- key: four-multitenancy-strategies
|
||||
file: ../../../final/evidence/rendered/four-multitenancy-strategies.svg
|
||||
- key: four-multitenancy-strategies-diagram
|
||||
file: ../../../final/assets/diagrams/four-multitenancy-strategies.svg
|
||||
evidence:
|
||||
- ../../../final/evidence/raw/four-multitenancy-strategies.txt
|
||||
source:
|
||||
- 원본 분석 절은 final/document.md#a05 §13.2 이다.
|
||||
---
|
||||
|
||||
# 네 가지 멀티테넌시 전략과 각각의 격리 경계
|
||||
|
||||
이 저장소는 네 전략을 각각 실험 플래그 뒤에 구현했다. 격리 경계가 다르고 실패 모드도 다르며, 넷 모두 테넌트 식별자의 형식 제약을 공통 기반으로 쓴다.
|
||||
|
||||
## 관계
|
||||
|
||||
- **RLS가 성립하기 위한 세 전제**
|
||||
두 번째 전략의 전제 조건이다.
|
||||
- **tenant별 풀이 개별적으로 합리적이고 그 합이 서버 상한을 넘긴다**
|
||||
네 번째 전략의 실패 모드다.
|
||||
- **클래스패스에 있는 것은 실행 동의가 아니다**
|
||||
네 전략이 전부 플래그 뒤에 있는 이유다.
|
||||
|
||||
## 본문
|
||||
|
||||
<!-- body:start -->
|
||||
|
||||
이 저장소가 네 전략(discriminator column · RLS · schema-per-tenant · database-per-tenant)을 각각 플래그 뒤에 두고 구현한 구조의 설명이다.
|
||||
|
||||
## 격리 경계가 놓이는 층
|
||||
|
||||
:::evidence key="four-multitenancy-strategies-diagram" alt="database-per-tenant 와 schema-per-tenant 와 RLS 행 수준과 discriminator column 이 위에서 아래로 쌓여 있고 오른쪽에 격리가 얕아지는 방향 화살표가 있다" caption="격리 경계가 놓이는 층" zoom="false"
|
||||
:::
|
||||
|
||||
## 실패 모드가 전략마다 다르다
|
||||
|
||||
column은 predicate 누락이 곧 유출, RLS는 세 전제(§concept\:rls-three-preconditions), schema는 `search_path` 잔존, database는 커넥션 예산의 곱셈이다.
|
||||
|
||||
## 네 전략이 각각 놓인 플래그
|
||||
|
||||
:::evidence key="four-multitenancy-strategies" alt="분석 문서 final/document.md#a05 에서 이 기록의 근거 절을 그대로 잘라낸 16줄. 코드베이스를 측정한 것이 아니라 원본 판정이 무엇을 적었는지를 보여 준다." caption="final/document.md#a05 발췌 — 16줄" zoom="true"
|
||||
:::
|
||||
|
||||
## TenantId 정규식이 네 전략 전부의 기반인 이유
|
||||
|
||||
스키마 이름·`set_config` 값·라우팅 키에 들어가므로 `../public` 같은 값이 path-traversal이 된다.
|
||||
|
||||
:::note
|
||||
|
||||
네 전략 중 어느 것도 실제로 켜서 관측하지 않았다 — 전부 experimental 플래그 뒤에 있다
|
||||
|
||||
:::
|
||||
|
||||
## 네 전략과 각각의 실패 모드
|
||||
|
||||
| 전략 | 격리 경계 | 실패 모드 |
|
||||
|---|---|---|
|
||||
| 판별 컬럼 | 애플리케이션 술어 | 술어 누락이 곧 유출 |
|
||||
| 행 수준 보안 | 데이터베이스 정책 | 세 전제 중 하나만 어긋나도 무력화 |
|
||||
| 테넌트별 스키마 | 검색 경로 | 세션 설정이 풀로 돌아간 커넥션에 잔존 |
|
||||
| 테넌트별 데이터베이스 | 커넥션 자체 | 풀 예산의 곱셈 |
|
||||
|
||||
경계가 위로 갈수록 애플리케이션에 가깝고 아래로 갈수록 인프라에 가깝다. 그리고 실패의 성질도 달라진다. 위쪽은 코드 한 줄을 빠뜨리면 유출이고, 아래쪽은 자원 계산을 틀리면 전체 장애다.
|
||||
|
||||
## 공통 기반은 식별자의 형식이다
|
||||
|
||||
테넌트 식별자는 네 전략 전부에서 쓰인다. 그리고 쓰이는 자리가 위험하다.
|
||||
|
||||
스키마 이름이 된다
|
||||
세션 설정 값이 된다
|
||||
라우팅 키가 된다
|
||||
|
||||
그래서 식별자 타입이 형식을 정규식으로 제약한다. 그 제약이 없으면 상위 경로를 가리키는 값 같은 것이 스키마 이름 자리에 들어가 경로 순회가 된다.
|
||||
|
||||
:::warning
|
||||
|
||||
식별자 형식 제약은 네 전략 중 어느 것을 쓰든 필요하다. 전략을 바꿔도 그 값이 들어가는 자리는 여전히 위험하다.
|
||||
|
||||
:::
|
||||
|
||||
## 실험 플래그 뒤에 있는 이유
|
||||
|
||||
네 전략 전부가 게이트 뒤에 있다. 클래스패스에 있다는 것이 실행 동의가 아니라는 원칙이다.
|
||||
|
||||
테넌트 격리 기능이 jar 가 있다는 이유로 스스로 켜지면, 켜졌는지 모르는 상태에서 격리를 신뢰하게 된다. 게이트는 결정의 부재를 활성화가 아니라 오류로 만든다.
|
||||
|
||||
## 이 저장소에서의 상태
|
||||
|
||||
네 전략 중 어느 것도 실제로 켜서 관측되지 않았다. 전부 실험 플래그 뒤에 있고, 이 사이클의 확인은 코드와 마이그레이션과 그 주석에 근거한다.
|
||||
|
||||
<!-- body:end -->
|
||||
Reference in New Issue
Block a user