# 헤더 도착과 인가 우회는 다르다

## Alternative text

외부 위조 헤더가 nginx 를 지나 permitAll echo 에서는 200으로 도착하지만 JWT 보호 경로에서는 401로 막히는 분기.

## Long description

위조 헤더는 app1.hyeonworks.com/api 의 permitAll echo 앱까지 그대로 도착했다. 같은 헤더로 JWT 를 요구하는 /api/me 와 /api/protected 를 호출하면 401이었다. 따라서 헤더 도착과 인가 우회는 다른 사건이다. proxy_set_header 로 먼저 지우는 것은 문서에 적힌 처방이지만 이 실험대에서는 적용하지 않아 미검증이다.

## Elements and evidence

- **외부 위조 헤더** (actor): 앱이 신뢰할 수 있는 이름과 같은 헤더를 보낸다. Evidence: L823–L830.
- **nginx** (gateway): 설정하지 않은 동명 헤더를 덮어쓰지 않는다. Evidence: L829–L830.
- **permitAll echo** (service): 위조 헤더가 도착하는 것을 관측한 경로다. Evidence: L825–L840.
- **JWT 보호 경로** (service): 같은 위조 헤더만으로는 통과하지 못했다. Evidence: L832–L840.

## Relationships

- **외부 위조 헤더 → nginx:** 위조 헤더. Evidence: L823–L830.
- **nginx → permitAll echo:** 그대로 전달. Evidence: L825–L840.
- **nginx → JWT 보호 경로:** 같은 헤더. Evidence: L832–L840.