feat: 가상화 문서들 추가

docs/keycloak/tech-log-studio/oauth-oidc-auth-boundary/case/case-ap2-split-custody.md

@@ -12,13 +12,17 @@ verifiedOn: 2026-08-24
 studio: "https://hyeonworks.com/studio/documents/488ce49b-afa4-42a5-a2ce-de2e0653cd82/edit"
 public: "https://hyeonworks.com/cases/split-custody-access-token"
 assets:
-  - key: ap2-split-custody-779cb791
-    file: ../../../final/assets/tech-log-studio/ap2-split-custody.svg
+  - key: ap2-mediator-architecture
+    file: ../../../final/assets/ap2-mediator-architecture/ap2-mediator-architecture.svg
+  - key: ap2-mediator-handoff-flow
+    file: ../../../final/assets/ap2-mediator-handoff-flow/ap2-mediator-handoff-flow.svg
 sourceRevision: keycloak-patterns-lab@2026-08
 source:
   - final/document.md#검토한-선택지와-막힌-지점-ap2
   - final/document.md#선택의-이유와-지킨-경계-ap2
+  - final/document.md#선택이-코드와-흐름에-반영되는-방식-ap2-완주
   - final/document.md#결정이-지켜지는지-확인하는-방법-ap2
+  - final/document.md#얻은-것-잃은-것-적용하지-않을-때-ap2
 ---
 
 # Refresh Token 관리만 서버로 이전, Access Token은 여전히 Browser에 노출
@@ -113,8 +117,7 @@ confidential client는 client secret을 서버에 두고 자기를 인증할 수
 
 ## 서버로 옮긴 값과 브라우저로 돌아오는 값
 
-:::evidence key="ap2-split-custody-779cb791" alt="Spring mediator의 authorized client 안에 access token과 refresh token이 함께 있고, 그중 access token만 브라우저 실행 영역으로 돌아오는 그림. 브라우저에서 Resource Server로 가는 Authorization Bearer 화살표는 mediator를 지나지 않는다. 브라우저 실행 영역 전체가 실행 중 XSS가 닿는 범위로 표시돼 있다." caption="" zoom="true"
-:::
+![브라우저가 Spring mediator에서 access token만 받아 Resource Server를 직접 호출하고 refresh token은 authorized-client store에 남기는 AP2 split-custody 아키텍처.](../../../final/assets/ap2-mediator-architecture/ap2-mediator-architecture.svg)
 
 SPA 구조에서는 브라우저가 코드를 직접 교환하고 받은 토큰도 브라우저에서 관리했다. mediator를 두면 그 코드를 교환하는 쪽이 Spring mediator로 바뀌고, 액세스 토큰과 리프레시 토큰은 둘 다 서버 쪽 authorized client에 저장된다. 그런데 보호 자원 서버를 부르는 쪽은 여전히 브라우저라서, 액세스 토큰은 `/token/access`를 통해 다시 브라우저로 건너온다.
 
@@ -153,6 +156,8 @@ AP2_SESSION
 
 ## /token/access가 반환하는 세 가지 값
 
+![브라우저, Spring mediator, authorized-client store, Resource Server 사이에서 AP2_SESSION 요청, access-only 응답, 브라우저 Bearer 호출과 JSON 응답이 이어지는 순서도.](../../../final/assets/ap2-mediator-handoff-flow/ap2-mediator-handoff-flow.svg)
+
 브라우저가 보호 자원 서버를 직접 부르려면 액세스 토큰이 있어야 하고, 그 값을 주는 것이 `/token/access`다.
 
 ```http label="브라우저 입력 — cookie 한 개"
@@ -200,6 +205,8 @@ Authorization: Bearer <raw-keycloak-jwt>
 Origin: http://localhost:8082
 ```
 
+이 요청에 Resource Server가 돌려주는 것은 `subject`·`username`·`issuer`·`audience` 네 필드다.
+
 액세스 토큰이 지나가는 곳은 다음 세 곳이다.
 
 ```text
@@ -263,4 +270,4 @@ mediator를 넣은 이유는 하나다. 리프레시 토큰은 브라우저 Java
 
 `OAuth2AuthorizedClientManager`에는 authorization-code provider와 refresh-token provider가 함께 구성돼 있다. 다만 실제로 만료를 기다린 뒤 갱신이 성공하는지, rotation된 토큰이 저장되는지는 아직 확인하지 않았다.
 
-<!-- body:end -->
+<!-- body:end -->