---
kind: CASE
slug: the-forgeable-approval-survived-on-the-irreversible-half
title: 위조 가능한 승인이 하필 되돌릴 수 없는 작업 쪽에만 남았다
topic: operator-approval-and-destructive-operations
project: clean-architecture-backend-template
status: 게시 전
sourceRevision: 21234e38cdb9a926cbc92bb97a2aee2e4a7d2916
rootTreeNode: case:the-forgeable-approval-survived-on-the-irreversible-half
evidenceCapturedOn: 2026-09-01
assets:
  - key: the-forgeable-approval-survived-on-the-irreversible-half
    file: ../../../final/evidence/rendered/the-forgeable-approval-survived-on-the-irreversible-half.svg
evidence:
  - ../../../final/evidence/raw/the-forgeable-approval-survived-on-the-irreversible-half.txt
source:
  - 원본 분석 절은 analysis/messaging/messaging-admin-runtime.md §17 · analysis/messaging/messaging-admin-api.md §17 이다.
---

# 위조 가능한 승인이 하필 되돌릴 수 없는 작업 쪽에만 남았다

승인을 위조할 수 없게 만드는 수정이 복구 가능한 두 작업에는 적용됐고 복구 불가능한 세 작업에는 적용되지 않았다. 방향이 뒤집혀 있다.

## 관계

- **승인·검증·실행의 분리와 그것을 타입으로 표현하기**
  이 사례가 속한 구조다.
- **권한이 센 절반이 설정 한 줄로 켜지면 안 된다**
  같은 계열의 규칙이다.
- **서명 능력과 검증 능력은 같은 객체에 두지 않는다**
  같은 표면의 다른 결함이다.
- **APPLY를 켜는 설정은 있고 승인을 검증하는 bean은 없다**
  같은 형태가 다른 어댑터에서 나타난 사례다.

## 문제

파괴적 작업 인터페이스는 다섯 작업을 다룬다. 재생과 리드라이브는 되돌릴 수 있다. 비우기, 목적지 삭제, 오프셋 되돌리기는 되돌릴 수 없다.

승인된 계획을 표현하는 타입이 작업마다 있다.

## 결론

수정이 절반에만 적용됐다.

재생과 리드라이브의 승인된 계획 타입은 검증을 통과한 사실 자체를 담은 타입을 요구한다. 그 타입은 검증기만 만들 수 있다.

나머지 세 작업의 승인된 계획 타입은 여전히 public 생성자를 가진 평범한 record 다. 생성자가 보는 것은 널과 음수뿐이다. 그 승인이 이 작업을 인가하는지, 이 목적지를 인가하는지, 영향받는 메시지 수가 승인 상한 이하인지 아무것도 검사하지 않고, 계획 다이제스트 필드 자체가 없다.

방향이 뒤집혀 있다는 것이 이 사례의 요점이다. 실수해도 되돌릴 수 있는 작업이 보호받고, 되돌릴 수 없는 작업이 보호받지 않는다.

현재 구현체가 0건이라 실행되는 결함은 아니다. 그러나 이 인터페이스는 운영자 도구가 구현하라고 존재하는 것이고, 그 도구가 생기는 순간의 모양이 이것이다.

## 검증 환경

OpenJDK : 21.0.12
Gradle : 9.0.0
확인 방식 : 다섯 작업의 승인된 계획 타입 생성자 대조
소스 수정 : x

## 재현 조건

원문은 final/evidence/raw/308-admin-runtime-api-and-dependency-defects.txt (EVD-308) 에 있다.

1. 파괴적 작업 인터페이스에서 다섯 작업의 승인된 계획 타입을 찾는다.
2. 각 타입의 생성자가 무엇을 검사하는지 적는다.
3. 검증을 통과한 사실을 담은 타입을 요구하는 것이 어느 작업인지 센다.
4. 그 작업들이 복구 가능한지 확인한다.

## 본문

<!-- body:start -->

승인된 계획을 위조할 수 없게 만드는 수정이 `REPLAY` 와 `REDRIVE` 에는 적용됐고 `PURGE` · `DELETE_DESTINATION` · `OFFSET_RESET` 에는 적용되지 않았다.

## 수정이 적용된 두 작업

:::evidence key="the-forgeable-approval-survived-on-the-irreversible-half" alt="분석 문서 analysis/messaging/messaging-admin-runtime.md 에서 이 기록의 근거 절을 그대로 잘라낸 18줄. 코드베이스를 측정한 것이 아니라 원본 판정이 무엇을 적었는지를 보여 준다." caption="analysis/messaging/messaging-admin-runtime.md 발췌 — 18줄" zoom="true"
:::

## 남은 쪽의 생성자가 보는 것

`Approved` record 는 public 생성자를 갖고 생성자가 null 과 음수만 본다 — 그 승인이 이 작업을 인가하는지, 이 목적지를 인가하는지, 영향 메시지 수가 승인 상한 이하인지 아무것도 검사하지 않고 계획 다이제스트 필드 자체가 없다.

## 방향이 뒤집혀 있다

적용된 두 작업은 복구 가능하고, 빠진 세 작업은 복구 불가능하다. 현재 구현체가 0 건이라 실행되는 결함은 아니지만, 이 인터페이스는 운영자 도구가 구현하라고 존재하는 것이고 그 도구가 생기는 순간의 모양이 이것이다.

## 확인하지 못한 것

없다. 다섯 타입의 생성자와 적용 범위를 대조했다.

<!-- body:end -->