%% AP4는 공개 edge에서 session을 정제된 upstream identity로 바꾼다
%% question: AP4에서 외부 session 요청은 어떤 공개·비공개 경계를 지나 trusted identity header와 internal token이 되는가?
flowchart LR
    subgraph g_external_client_zone["External browser"]
        n0(["Browser"])
    end
    subgraph g_ap4_deployment_zone["AP4 deployment path"]
        n1["Nginx edge"]
        n2["Spring upstream"]
        n3["oauth2-proxy"]
    end
    n0 -->|"AP4_SESSION"| n1
    n1 -->|"auth subrequest"| n3
    n1 -->|"identity"| n2
    classDef external stroke-dasharray: 6 4
    class n0 external