# 로그인 credential owner와 API caller는 같은 축이 아니다
# Question: 로그인 구간의 credential owner와 애플리케이션 요청 구간의 caller는 AP2·AP3·AP4에서 어디서 같고 갈라지는가?
direction: right
g0: "로그인 구간" {
  n0: "Keycloak" {
    shape: rectangle
  }
  n1: "AP2 mediator" {
    shape: rectangle
  }
  n2: "AP3 BFF · 로그인" {
    shape: rectangle
  }
  n3: "AP4 oauth2-proxy" {
    shape: rectangle
  }
}
g1: "애플리케이션 요청 구간" {
  n4: "AP2 브라우저" {
    shape: person
  }
  n5: "AP3 BFF · API" {
    shape: rectangle
  }
  n6: "AP4 Nginx" {
    shape: rectangle
  }
  n7: "보호 자원" {
    shape: rectangle
  }
}
g0.n0 -> g0.n1: "code → token"
g0.n0 -> g0.n2: "code → token"
g0.n0 -> g0.n3: "OIDC code 교환"
g0.n1 -> g1.n4: "owner 분리"
g0.n2 -> g1.n5: "동일 BFF"
g0.n3 -> g1.n6: "auth 결과"
g1.n4 -> g1.n7: "/api/me · Bearer"
g1.n5 -> g1.n7: "/api/me · Bearer"
g1.n6 -> g1.n7: "/edge/me · identity"