---
kind: CONCEPT
slug: adapter-outbound-objectstorage-c07
title: durable record가 비밀을 담지 않는다
topic: state-machines-and-ownership
project: clean-architecture-backend-template
status: 게시 전
sourceRevision: 21234e38cdb9a926cbc92bb97a2aee2e4a7d2916
rootTreeNode: concept:adapter-outbound-objectstorage-c07
evidenceCapturedOn: 2026-09-01
assets:
  - key: adapter-outbound-objectstorage-c07
    file: ../../../final/evidence/rendered/adapter-outbound-objectstorage-c07.svg
evidence:
  - ../../../final/evidence/raw/adapter-outbound-objectstorage-c07.txt
source:
  - 원본 분석 절은 analysis/09-adapter-outbound-objectstorage.md#L420 이다.
module: adapter-outbound-objectstorage
---

# durable record가 비밀을 담지 않는다

`DirectTransferSessionRecord`의 javadoc 한 줄이 이 sub-scope의 출발점이다 — "Durable non-secret direct-transfer session state; bearer material is deliberately absent."

## 본문

<!-- body:start -->

durable record가 **비밀을 담지 않는다**는 것이 출발점이다. `DirectTransferSessionRecord`의 한 줄 javadoc이 그것이다 — "Durable non-secret direct-transfer session state; bearer material is deliberately absent." 저장되는 것은 generation·제약 다이제스트·서명 시각·만료·credential revision·reference revision뿐이고, presigned URI와 서명 헤더는 **process-local 캐시**에만 남는다.

프로세스가 재시작하면 이미 발급된 grant는 재현되지 않고 `"issued direct grant bearer material is unavailable after process restart"`로 명시적으로 실패한다 — 조용히 새로 서명해서 두 번째 bearer를 만드는 대신이다.

## DirectTransferSessionRecord 참조 위치

:::evidence key="adapter-outbound-objectstorage-c07" alt="코드베이스에서 DirectTransferSessionRecord 를 검색한 출력 10줄. 이 기록이 세는 참조가 그 출력에 그대로 보인다." caption="DirectTransferSessionRecord 코드베이스 검색 — 10줄 · exit 0" zoom="true"
:::

## CAS가 고정하는 순서

`SESSION_RESERVED → GRANT_PREPARED → GRANT_ISSUED → DATA_UPLOADED`이고, test 이름이 그 순서를 그대로 못박는다 — `preparedCasPrecedesSigningAndIssuedCasPrecedesReturningTheBearerGrant`. 서명 **전에** prepared가 durable해야 하고, bearer를 **반환하기 전에** issued가 durable해야 한다.

## 완료를 지평이 지날 때까지 거부한다

multipart 쪽에서 가장 흥미로운 것은 완료 시점의 **admission drain**이다. `DirectMultipartCompletionVerifier.requireAdmissionDrained`는 provider가 "controlled ingress가 비었다"고 권위 있게 말해 주지 않으면, `마지막 grant 만료 + 검증된 시계 오차 + 최대 in-flight 지평` 이 지나기 전에는 완료를 거부한다. 이미 발급된 part PUT이 아직 날아가고 있을 수 있기 때문이다. test 이름이 `completionHorizonRejectsWhileIssuedPartRequestsMayStillArrive`와 `lateGrantAdmissionRejectsAfterCompletionFence`로 양방향 모두 고정한다.

<!-- body:end -->