- generic [ref=f15e3]:
  - link "본문으로 건너뛰기" [ref=f15e4] [cursor=pointer]:
    - /url: "#main-content"
  - banner [ref=f15e5]:
    - generic [ref=f15e6]:
      - link "TechLog Studio" [ref=f15e7] [cursor=pointer]:
        - /url: /studio
        - text: TechLog
        - generic [ref=f15e8]: Studio
      - navigation "Studio 주 탐색" [ref=f15e10]:
        - link "작업본" [ref=f15e11] [cursor=pointer]:
          - /url: /studio/documents
        - link "게시 기록" [ref=f15e12] [cursor=pointer]:
          - /url: /studio/publications
        - link "새 문서" [ref=f15e13] [cursor=pointer]:
          - /url: /studio/documents/new
        - link "주제·프로젝트" [ref=f15e14] [cursor=pointer]:
          - /url: /studio/taxonomy
        - link "릴리즈" [ref=f15e15] [cursor=pointer]:
          - /url: /studio/releases
        - link "공개 사이트 보기" [ref=f15e16] [cursor=pointer]:
          - /url: /
        - button "로그아웃" [ref=f15e17]
  - main [ref=f15e18]:
    - generic [ref=f15e19]:
      - generic [ref=f15e20]:
        - region [ref=f15e21]:
          - generic [ref=f15e22]:
            - paragraph [ref=f15e23]: REFERENCE · VERSION 11
            - heading "문서 편집" [level=1] [ref=f15e24]
            - paragraph [ref=f15e25]: OAuth/OIDC 인증 패턴 선택 기준
          - region [ref=f15e26]:
            - generic [ref=f15e27]:
              - paragraph [ref=f15e28]: DOCUMENT
              - heading "기본 정보" [level=2] [ref=f15e29]
            - generic [ref=f15e30]:
              - generic [ref=f15e31]:
                - generic [ref=f15e32]: 제목
                - textbox "제목" [ref=f15e33]: OAuth/OIDC 인증 패턴 선택 기준
              - generic [ref=f15e34]:
                - generic [ref=f15e35]: slug
                - textbox "slug" [ref=f15e36]:
                  - /placeholder: 비우면 제목에서 만듭니다 (영문 소문자·숫자·하이픈)
                  - text: oauth-oidc-pattern-selection-criteria
              - generic [ref=f15e37]:
                - generic [ref=f15e38]: 요약
                - textbox "요약" [ref=f15e39]: SPA, Mediator, BFF, OAuth2-Proxy는 브라우저의 access token 사용 여부, Resource Server 호출 주체, server-side 인증 상태, 보호 자원이 검증하는 credential, CSRF 처리 위치가 서로 다르다. 패턴 선택에서는 이 다섯 항목을 요구사항과 운영 환경에 맞춰 비교한다.
              - generic [ref=f15e40]:
                - generic [ref=f15e41]: Topic
                - combobox "Topic" [ref=f15e42]:
                  - option "선택하지 않음"
                  - option "OAuth/OIDC 인증 경계" [selected]
              - generic [ref=f15e43]:
                - generic [ref=f15e44]: Project
                - combobox "Project" [ref=f15e45]:
                  - option "미지정"
                  - option "Backend Clean Architecture"
                  - option "KeyCloak Patterns" [selected]
                  - option "Liner N + 1문제"
            - group "관계" [ref=f15e46]:
              - generic [ref=f15e48]:
                - generic [ref=f15e49]:
                  - generic [ref=f15e50]: 관계 1 대상
                  - combobox "관계 1 대상" [ref=f15e51]:
                    - option "대상 선택"
                    - option "인증 구조를 보안 성숙도 단계로 취급하지 않는다" [disabled]
                    - option "서버 세션 기반 인증 구조는 다중 인스턴스에서 어떻게 운영할 것인가"
                    - option "Authorization Code Flow의 Endpoint와 Credential 이동 기준"
                    - option "BFF 인증 구조 설계 기준"
                    - option "BFF가 OAuth Token을 관리하는 조건"
                    - option "BFF의 Session과 OAuth2AuthorizedClient를 어디에 저장할 것인가"
                    - option "Browser Token을 없애면서 BFF에 Session과 CSRF 책임이 생긴 과정" [disabled]
                    - option "Forward-Auth 구조에서 Application Authorization을 어디까지 Edge에 둘 것인가"
                    - option "Forward-Auth에서 Client가 보낸 Identity Header를 신뢰하면 안 되는 이유" [disabled]
                    - option "Forward-Auth에서 Identity Header를 신뢰하기 위한 조건"
                    - option "외부 IdP Federation을 별도의 인증 구조로 세지 않는다"
                    - option "외부 IdP Federation과 Application 인증 경계"
                    - option "OAuth/OIDC 인증 패턴 선택 기준"
                    - option "OAuth Token과 Application Session을 구분하는 기준"
                    - option "Public Client와 Confidential Client 구분 기준"
                    - option "Refresh Token 관리만 서버로 이전, Access Token은 여전히 Browser에 노출" [disabled]
                    - option "Refresh Token Rotation과 다중 Replica 경쟁을 어떻게 처리할 것인가"
                    - option "SPA에서 토큰을 직접 관리하면서 드러난 Browser Credential 경계" [selected]
                - generic [ref=f15e52]:
                  - generic [ref=f15e53]: 관계 1 이유
                  - textbox "관계 1 이유" [ref=f15e54]: 브라우저가 code 교환과 token 보관, API 호출을 모두 맡는다.
                - generic [ref=f15e55]:
                  - button "위로" [disabled] [ref=f15e56]
                  - button "아래로" [ref=f15e57]
                  - button "삭제" [ref=f15e58]
              - generic [ref=f15e59]:
                - generic [ref=f15e60]:
                  - generic [ref=f15e61]: 관계 2 대상
                  - combobox "관계 2 대상" [ref=f15e62]:
                    - option "대상 선택"
                    - option "인증 구조를 보안 성숙도 단계로 취급하지 않는다" [disabled]
                    - option "서버 세션 기반 인증 구조는 다중 인스턴스에서 어떻게 운영할 것인가"
                    - option "Authorization Code Flow의 Endpoint와 Credential 이동 기준"
                    - option "BFF 인증 구조 설계 기준"
                    - option "BFF가 OAuth Token을 관리하는 조건"
                    - option "BFF의 Session과 OAuth2AuthorizedClient를 어디에 저장할 것인가"
                    - option "Browser Token을 없애면서 BFF에 Session과 CSRF 책임이 생긴 과정" [disabled]
                    - option "Forward-Auth 구조에서 Application Authorization을 어디까지 Edge에 둘 것인가"
                    - option "Forward-Auth에서 Client가 보낸 Identity Header를 신뢰하면 안 되는 이유" [disabled]
                    - option "Forward-Auth에서 Identity Header를 신뢰하기 위한 조건"
                    - option "외부 IdP Federation을 별도의 인증 구조로 세지 않는다"
                    - option "외부 IdP Federation과 Application 인증 경계"
                    - option "OAuth/OIDC 인증 패턴 선택 기준"
                    - option "OAuth Token과 Application Session을 구분하는 기준"
                    - option "Public Client와 Confidential Client 구분 기준"
                    - option "Refresh Token 관리만 서버로 이전, Access Token은 여전히 Browser에 노출" [selected]
                    - option "Refresh Token Rotation과 다중 Replica 경쟁을 어떻게 처리할 것인가"
                    - option "SPA에서 토큰을 직접 관리하면서 드러난 Browser Credential 경계" [disabled]
                - generic [ref=f15e63]:
                  - generic [ref=f15e64]: 관계 2 이유
                  - textbox "관계 2 이유" [ref=f15e65]: mediator가 refresh token을 관리하고 브라우저가 access token으로 API를 직접 호출하는 구성을 확인했다.
                - generic [ref=f15e66]:
                  - button "위로" [ref=f15e67]
                  - button "아래로" [ref=f15e68]
                  - button "삭제" [ref=f15e69]
              - generic [ref=f15e70]:
                - generic [ref=f15e71]:
                  - generic [ref=f15e72]: 관계 3 대상
                  - combobox "관계 3 대상" [ref=f15e73]:
                    - option "대상 선택"
                    - option "인증 구조를 보안 성숙도 단계로 취급하지 않는다" [disabled]
                    - option "서버 세션 기반 인증 구조는 다중 인스턴스에서 어떻게 운영할 것인가"
                    - option "Authorization Code Flow의 Endpoint와 Credential 이동 기준"
                    - option "BFF 인증 구조 설계 기준"
                    - option "BFF가 OAuth Token을 관리하는 조건"
                    - option "BFF의 Session과 OAuth2AuthorizedClient를 어디에 저장할 것인가"
                    - option "Browser Token을 없애면서 BFF에 Session과 CSRF 책임이 생긴 과정" [selected]
                    - option "Forward-Auth 구조에서 Application Authorization을 어디까지 Edge에 둘 것인가"
                    - option "Forward-Auth에서 Client가 보낸 Identity Header를 신뢰하면 안 되는 이유" [disabled]
                    - option "Forward-Auth에서 Identity Header를 신뢰하기 위한 조건"
                    - option "외부 IdP Federation을 별도의 인증 구조로 세지 않는다"
                    - option "외부 IdP Federation과 Application 인증 경계"
                    - option "OAuth/OIDC 인증 패턴 선택 기준"
                    - option "OAuth Token과 Application Session을 구분하는 기준"
                    - option "Public Client와 Confidential Client 구분 기준"
                    - option "Refresh Token 관리만 서버로 이전, Access Token은 여전히 Browser에 노출" [disabled]
                    - option "Refresh Token Rotation과 다중 Replica 경쟁을 어떻게 처리할 것인가"
                    - option "SPA에서 토큰을 직접 관리하면서 드러난 Browser Credential 경계" [disabled]
                - generic [ref=f15e74]:
                  - generic [ref=f15e75]: 관계 3 이유
                  - textbox "관계 3 이유" [ref=f15e76]: BFF가 code 교환, token 보관, Resource Server 호출을 모두 처리하는 구성을 확인했다.
                - generic [ref=f15e77]:
                  - button "위로" [ref=f15e78]
                  - button "아래로" [ref=f15e79]
                  - button "삭제" [ref=f15e80]
              - generic [ref=f15e81]:
                - generic [ref=f15e82]:
                  - generic [ref=f15e83]: 관계 4 대상
                  - combobox "관계 4 대상" [ref=f15e84]:
                    - option "대상 선택"
                    - option "인증 구조를 보안 성숙도 단계로 취급하지 않는다" [disabled]
                    - option "서버 세션 기반 인증 구조는 다중 인스턴스에서 어떻게 운영할 것인가"
                    - option "Authorization Code Flow의 Endpoint와 Credential 이동 기준"
                    - option "BFF 인증 구조 설계 기준"
                    - option "BFF가 OAuth Token을 관리하는 조건"
                    - option "BFF의 Session과 OAuth2AuthorizedClient를 어디에 저장할 것인가"
                    - option "Browser Token을 없애면서 BFF에 Session과 CSRF 책임이 생긴 과정" [disabled]
                    - option "Forward-Auth 구조에서 Application Authorization을 어디까지 Edge에 둘 것인가"
                    - option "Forward-Auth에서 Client가 보낸 Identity Header를 신뢰하면 안 되는 이유" [selected]
                    - option "Forward-Auth에서 Identity Header를 신뢰하기 위한 조건"
                    - option "외부 IdP Federation을 별도의 인증 구조로 세지 않는다"
                    - option "외부 IdP Federation과 Application 인증 경계"
                    - option "OAuth/OIDC 인증 패턴 선택 기준"
                    - option "OAuth Token과 Application Session을 구분하는 기준"
                    - option "Public Client와 Confidential Client 구분 기준"
                    - option "Refresh Token 관리만 서버로 이전, Access Token은 여전히 Browser에 노출" [disabled]
                    - option "Refresh Token Rotation과 다중 Replica 경쟁을 어떻게 처리할 것인가"
                    - option "SPA에서 토큰을 직접 관리하면서 드러난 Browser Credential 경계" [disabled]
                - generic [ref=f15e85]:
                  - generic [ref=f15e86]: 관계 4 이유
                  - textbox "관계 4 이유" [ref=f15e87]: 인증이 edge로 가면 보호 자원이 검증하는 것이 JWT에서 헤더로 바뀐다.
                - generic [ref=f15e88]:
                  - button "위로" [ref=f15e89]
                  - button "아래로" [ref=f15e90]
                  - button "삭제" [ref=f15e91]
              - generic [ref=f15e92]:
                - generic [ref=f15e93]:
                  - generic [ref=f15e94]: 관계 5 대상
                  - combobox "관계 5 대상" [ref=f15e95]:
                    - option "대상 선택"
                    - option "인증 구조를 보안 성숙도 단계로 취급하지 않는다" [selected]
                    - option "서버 세션 기반 인증 구조는 다중 인스턴스에서 어떻게 운영할 것인가"
                    - option "Authorization Code Flow의 Endpoint와 Credential 이동 기준"
                    - option "BFF 인증 구조 설계 기준"
                    - option "BFF가 OAuth Token을 관리하는 조건"
                    - option "BFF의 Session과 OAuth2AuthorizedClient를 어디에 저장할 것인가"
                    - option "Browser Token을 없애면서 BFF에 Session과 CSRF 책임이 생긴 과정" [disabled]
                    - option "Forward-Auth 구조에서 Application Authorization을 어디까지 Edge에 둘 것인가"
                    - option "Forward-Auth에서 Client가 보낸 Identity Header를 신뢰하면 안 되는 이유" [disabled]
                    - option "Forward-Auth에서 Identity Header를 신뢰하기 위한 조건"
                    - option "외부 IdP Federation을 별도의 인증 구조로 세지 않는다"
                    - option "외부 IdP Federation과 Application 인증 경계"
                    - option "OAuth/OIDC 인증 패턴 선택 기준"
                    - option "OAuth Token과 Application Session을 구분하는 기준"
                    - option "Public Client와 Confidential Client 구분 기준"
                    - option "Refresh Token 관리만 서버로 이전, Access Token은 여전히 Browser에 노출" [disabled]
                    - option "Refresh Token Rotation과 다중 Replica 경쟁을 어떻게 처리할 것인가"
                    - option "SPA에서 토큰을 직접 관리하면서 드러난 Browser Credential 경계" [disabled]
                - generic [ref=f15e96]:
                  - generic [ref=f15e97]: 관계 5 이유
                  - textbox "관계 5 이유" [ref=f15e98]: 이 기준의 첫 항목을 프로젝트 결정으로 굳힌 기록이다.
                - generic [ref=f15e99]:
                  - button "위로" [ref=f15e100]
                  - button "아래로" [disabled] [ref=f15e101]
                  - button "삭제" [ref=f15e102]
              - button "관계 추가" [ref=f15e103]
          - region [ref=f15e104]:
            - generic [ref=f15e105]:
              - paragraph [ref=f15e106]: REFERENCE
              - heading "재사용할 기준" [level=2] [ref=f15e107]
            - generic [ref=f15e108]:
              - generic [ref=f15e109]: 목적
              - textbox "목적" [ref=f15e110]: 브라우저에 token이 덜 보이는 순서는 있다. 그 순서를 보안 등급으로 쓰면 판단이 틀린다. BFF는 브라우저 token을 없애지만 server session과 공유 저장소를 만든다. Forward-Auth는 애플리케이션의 token custody를 줄이지만 edge 헤더 신뢰와 network 경계를 만든다. 새로 생긴 쪽을 감당할 수 없는 환경이면 앞 구조가 더 안전하다. 번호가 아니라 배치를 본다.
            - group "규칙" [ref=f15e111]:
              - generic [ref=f15e113]:
                - generic [ref=f15e114]:
                  - generic [ref=f15e115]: 규칙 1 제목
                  - textbox "규칙 1 제목" [ref=f15e116]: 다섯 항목으로 구조를 비교한다
                - generic [ref=f15e117]:
                  - generic [ref=f15e118]: 규칙 1 본문
                  - textbox "규칙 1 본문" [ref=f15e119]: "구조를 비교할 때는 브라우저 token 전달, Resource Server 호출 주체, server-side 상태, Resource Server의 검증 대상, CSRF 처리 위치를 확인한다. 브라우저가 access token을 받나 SPA : o Mediator : o BFF : x Forward-Auth : x 브라우저가 보호 자원을 직접 부르나 SPA : o Mediator : o BFF : x Forward-Auth : x server-side token 상태가 있나 SPA : x Mediator : o BFF : o Forward-Auth : proxy session 보호 자원이 무엇을 검증하나 SPA : 서명된 JWT Mediator : 서명된 JWT BFF : 서명된 JWT Forward-Auth : edge가 붙인 헤더 cookie가 credential이면 CSRF 검증이 어디에 붙나 SPA : 해당 없음 Mediator : session endpoint BFF : 상태 변경 endpoint Forward-Auth : proxy cookie 기준 호출 주체와 credential 저장 방식을 정한 뒤에는 401/403, token 갱신 실패, logout을 어느 계층에서 처리할지 정한다."
                - generic [ref=f15e120]:
                  - button "위로" [disabled] [ref=f15e121]
                  - button "아래로" [ref=f15e122]
                  - button "삭제" [ref=f15e123]
              - generic [ref=f15e124]:
                - generic [ref=f15e125]:
                  - generic [ref=f15e126]: 규칙 2 제목
                  - textbox "규칙 2 제목" [ref=f15e127]: 피해야 할 조건을 먼저 확인한다
                - generic [ref=f15e128]:
                  - generic [ref=f15e129]: 규칙 2 본문
                  - textbox "규칙 2 본문" [ref=f15e130]: 정책상 브라우저에 token을 둘 수 없으면 memory에만 두는 보관은 답이 아니다. backend 직접 경로나 헤더 덮어쓰기를 닫을 수 없으면 edge에 인증을 맡기지 않는다. 이 조건에 걸리면 다른 항목은 볼 필요가 없다.
                - generic [ref=f15e131]:
                  - button "위로" [ref=f15e132]
                  - button "아래로" [ref=f15e133]
                  - button "삭제" [ref=f15e134]
              - generic [ref=f15e135]:
                - generic [ref=f15e136]:
                  - generic [ref=f15e137]: 규칙 3 제목
                  - textbox "규칙 3 제목" [ref=f15e138]: 선택 조건과 운영 부담을 함께 기록한다
                - generic [ref=f15e139]:
                  - generic [ref=f15e140]: 규칙 3 본문
                  - textbox "규칙 3 본문" [ref=f15e141]: 선택 결과만 적지 않고 어떤 요구에서 해당 패턴을 선택했는지와 적용하기 어려운 조건도 함께 기록한다.
                - generic [ref=f15e142]:
                  - button "위로" [ref=f15e143]
                  - button "아래로" [ref=f15e144]
                  - button "삭제" [ref=f15e145]
              - generic [ref=f15e146]:
                - generic [ref=f15e147]:
                  - generic [ref=f15e148]: 규칙 4 제목
                  - textbox "규칙 4 제목" [ref=f15e149]: 이름으로 운영 속성을 추정하지 않는다
                - generic [ref=f15e150]:
                  - generic [ref=f15e151]: 규칙 4 본문
                  - textbox "규칙 4 본문" [ref=f15e152]: BFF나 forward-auth라는 이름은 배치를 말할 뿐이다. 공유 저장소와 장애 복구, session failover, secret 교체가 갖춰져 있는지는 매번 따로 확인한다.
                - generic [ref=f15e153]:
                  - button "위로" [ref=f15e154]
                  - button "아래로" [ref=f15e155]
                  - button "삭제" [ref=f15e156]
              - generic [ref=f15e157]:
                - generic [ref=f15e158]:
                  - generic [ref=f15e159]: 규칙 5 제목
                  - textbox "규칙 5 제목" [ref=f15e160]: 옮기는 것은 업그레이드가 아니다
                - generic [ref=f15e161]:
                  - generic [ref=f15e162]: 규칙 5 본문
                  - textbox "규칙 5 본문" [ref=f15e163]: 패턴을 바꾸면 credential을 저장하고 전달하고 검증하는 주체도 함께 바뀐다. edge header가 계속 늘어나 애플리케이션 도메인 정보까지 전달해야 한다면 BFF에서 인가와 API 조합을 처리하는 구성을 다시 검토할 수 있다.
                - generic [ref=f15e164]:
                  - button "위로" [ref=f15e165]
                  - button "아래로" [disabled] [ref=f15e166]
                  - button "삭제" [ref=f15e167]
              - button "규칙 추가" [ref=f15e168]
            - group "적용 조건" [ref=f15e169]:
              - generic [ref=f15e171]:
                - generic [ref=f15e172]:
                  - generic [ref=f15e173]: 적용 조건 1
                  - textbox "적용 조건 1" [ref=f15e174]: 인증 구조를 처음 고를 때
                - generic [ref=f15e175]:
                  - button "위로" [disabled] [ref=f15e176]
                  - button "아래로" [ref=f15e177]
                  - button "삭제" [ref=f15e178]
              - generic [ref=f15e179]:
                - generic [ref=f15e180]:
                  - generic [ref=f15e181]: 적용 조건 2
                  - textbox "적용 조건 2" [ref=f15e182]: 한 구조에서 다른 구조로 옮기려 할 때
                - generic [ref=f15e183]:
                  - button "위로" [ref=f15e184]
                  - button "아래로" [ref=f15e185]
                  - button "삭제" [ref=f15e186]
              - generic [ref=f15e187]:
                - generic [ref=f15e188]:
                  - generic [ref=f15e189]: 적용 조건 3
                  - textbox "적용 조건 3" [ref=f15e190]: 구조를 문서로 비교할 때
                - generic [ref=f15e191]:
                  - button "위로" [ref=f15e192]
                  - button "아래로" [ref=f15e193]
                  - button "삭제" [ref=f15e194]
              - generic [ref=f15e195]:
                - generic [ref=f15e196]:
                  - generic [ref=f15e197]: 적용 조건 4
                  - textbox "적용 조건 4" [ref=f15e198]: 이름만 보고 고른 구조를 다시 검토할 때
                - generic [ref=f15e199]:
                  - button "위로" [ref=f15e200]
                  - button "아래로" [disabled] [ref=f15e201]
                  - button "삭제" [ref=f15e202]
              - button "적용 조건 추가" [ref=f15e203]
            - group "예외" [ref=f15e204]:
              - generic [ref=f15e206]:
                - generic [ref=f15e207]:
                  - generic [ref=f15e208]: 예외 1
                  - textbox "예외 1" [ref=f15e209]: 요구가 하나로 좁혀지면 비교가 필요 없다. 브라우저에 token을 둘 수 없고 backend가 API를 조합해야 하면 선택지는 하나다.
                - generic [ref=f15e210]:
                  - button "위로" [disabled] [ref=f15e211]
                  - button "아래로" [ref=f15e212]
                  - button "삭제" [ref=f15e213]
              - generic [ref=f15e214]:
                - generic [ref=f15e215]:
                  - generic [ref=f15e216]: 예외 2
                  - textbox "예외 2" [ref=f15e217]: 학습이나 시연이 목적이면 운영 속성 비교를 하지 않아도 된다. 그때는 학습 환경이라고 문서에 적어 둔다.
                - generic [ref=f15e218]:
                  - button "위로" [ref=f15e219]
                  - button "아래로" [disabled] [ref=f15e220]
                  - button "삭제" [ref=f15e221]
              - button "예외 추가" [ref=f15e222]
            - group "예시" [ref=f15e223]:
              - generic [ref=f15e225]:
                - generic [ref=f15e226]:
                  - generic [ref=f15e227]: 예시 1
                  - textbox "예시 1" [ref=f15e228]: "SPA : 브라우저가 code 교환과 token 보관, API 호출을 모두 맡는다"
                - generic [ref=f15e229]:
                  - button "위로" [disabled] [ref=f15e230]
                  - button "아래로" [ref=f15e231]
                  - button "삭제" [ref=f15e232]
              - generic [ref=f15e233]:
                - generic [ref=f15e234]:
                  - generic [ref=f15e235]: 예시 2
                  - textbox "예시 2" [ref=f15e236]: "Mediator : refresh token은 server에 있고 access token은 응답 본문으로 브라우저에 간다"
                - generic [ref=f15e237]:
                  - button "위로" [ref=f15e238]
                  - button "아래로" [ref=f15e239]
                  - button "삭제" [ref=f15e240]
              - generic [ref=f15e241]:
                - generic [ref=f15e242]:
                  - generic [ref=f15e243]: 예시 3
                  - textbox "예시 3" [ref=f15e244]: "BFF : server가 code 교환·token 관리·API 호출을 담당하고 브라우저는 session cookie로 BFF를 호출한다"
                - generic [ref=f15e245]:
                  - button "위로" [ref=f15e246]
                  - button "아래로" [ref=f15e247]
                  - button "삭제" [ref=f15e248]
              - generic [ref=f15e249]:
                - generic [ref=f15e250]:
                  - generic [ref=f15e251]: 예시 4
                  - textbox "예시 4" [ref=f15e252]: "Forward-Auth : edge가 인증하고 upstream은 edge가 붙인 헤더를 본다"
                - generic [ref=f15e253]:
                  - button "위로" [ref=f15e254]
                  - button "아래로" [disabled] [ref=f15e255]
                  - button "삭제" [ref=f15e256]
              - button "예시 추가" [ref=f15e257]
            - generic [ref=f15e258]:
              - generic [ref=f15e259]: 마지막 검증일
              - textbox "마지막 검증일" [ref=f15e260]
        - region [ref=f15e261]:
          - generic [ref=f15e262]:
            - paragraph [ref=f15e263]: LIVE
            - heading "즉시 미리보기" [level=2] [ref=f15e264]
          - generic [ref=f15e267]:
            - generic [ref=f15e268]:
              - navigation "문서 경로" [ref=f15e269]:
                - link "Reference" [ref=f15e270] [cursor=pointer]:
                  - /url: /explore/references
                - generic [ref=f15e271]: /
                - generic [ref=f15e272]: OAuth/OIDC 인증 경계
                - generic [ref=f15e273]: /
                - link "KeyCloak Patterns" [ref=f15e274] [cursor=pointer]:
                  - /url: /projects/keycloak-patterns
              - heading "OAuth/OIDC 인증 패턴 선택 기준" [level=1] [ref=f15e275]
              - paragraph [ref=f15e276]: SPA, Mediator, BFF, OAuth2-Proxy는 브라우저의 access token 사용 여부, Resource Server 호출 주체, server-side 인증 상태, 보호 자원이 검증하는 credential, CSRF 처리 위치가 서로 다르다. 패턴 선택에서는 이 다섯 항목을 요구사항과 운영 환경에 맞춰 비교한다.
              - generic [ref=f15e277]:
                - generic [ref=f15e278]:
                  - term [ref=f15e279]: 유형
                  - definition [ref=f15e280]: Reference
                - generic [ref=f15e281]:
                  - term [ref=f15e282]: 프로젝트
                  - definition [ref=f15e283]: KeyCloak Patterns
                - generic [ref=f15e284]:
                  - term [ref=f15e285]: 게시
                  - definition [ref=f15e286]: 게시 전
            - region [ref=f15e287]:
              - paragraph [ref=f15e288]: Purpose
              - heading "이 기준을 쓰는 이유" [level=2] [ref=f15e289]
              - paragraph [ref=f15e290]: 브라우저에 token이 덜 보이는 순서는 있다. 그 순서를 보안 등급으로 쓰면 판단이 틀린다.BFF는 브라우저 token을 없애지만 server session과 공유 저장소를 만든다. Forward-Auth는 애플리케이션의 token custody를 줄이지만 edge 헤더 신뢰와 network 경계를 만든다. 새로 생긴 쪽을 감당할 수 없는 환경이면 앞 구조가 더 안전하다.번호가 아니라 배치를 본다.
            - article [ref=f15e291]:
              - region [ref=f15e292]:
                - heading "판단 기준" [level=2] [ref=f15e293]
                - list [ref=f15e294]:
                  - listitem [ref=f15e295]:
                    - generic [ref=f15e296]: "01"
                    - generic [ref=f15e297]:
                      - heading "다섯 항목으로 구조를 비교한다" [level=3] [ref=f15e298]
                      - paragraph [ref=f15e299]: "구조를 비교할 때는 브라우저 token 전달, Resource Server 호출 주체, server-side 상태, Resource Server의 검증 대상, CSRF 처리 위치를 확인한다. 브라우저가 access token을 받나 SPA : o Mediator : o BFF : x Forward-Auth : x 브라우저가 보호 자원을 직접 부르나 SPA : o Mediator : o BFF : x Forward-Auth : x server-side token 상태가 있나 SPA : x Mediator : o BFF : o Forward-Auth : proxy session 보호 자원이 무엇을 검증하나 SPA : 서명된 JWT Mediator : 서명된 JWT BFF : 서명된 JWT Forward-Auth : edge가 붙인 헤더 cookie가 credential이면 CSRF 검증이 어디에 붙나 SPA : 해당 없음 Mediator : session endpoint BFF : 상태 변경 endpoint Forward-Auth : proxy cookie 기준 호출 주체와 credential 저장 방식을 정한 뒤에는 401/403, token 갱신 실패, logout을 어느 계층에서 처리할지 정한다."
                  - listitem [ref=f15e300]:
                    - generic [ref=f15e301]: "02"
                    - generic [ref=f15e302]:
                      - heading "피해야 할 조건을 먼저 확인한다" [level=3] [ref=f15e303]
                      - paragraph [ref=f15e304]: 정책상 브라우저에 token을 둘 수 없으면 memory에만 두는 보관은 답이 아니다. backend 직접 경로나 헤더 덮어쓰기를 닫을 수 없으면 edge에 인증을 맡기지 않는다. 이 조건에 걸리면 다른 항목은 볼 필요가 없다.
                  - listitem [ref=f15e305]:
                    - generic [ref=f15e306]: "03"
                    - generic [ref=f15e307]:
                      - heading "선택 조건과 운영 부담을 함께 기록한다" [level=3] [ref=f15e308]
                      - paragraph [ref=f15e309]: 선택 결과만 적지 않고 어떤 요구에서 해당 패턴을 선택했는지와 적용하기 어려운 조건도 함께 기록한다.
                  - listitem [ref=f15e310]:
                    - generic [ref=f15e311]: "04"
                    - generic [ref=f15e312]:
                      - heading "이름으로 운영 속성을 추정하지 않는다" [level=3] [ref=f15e313]
                      - paragraph [ref=f15e314]: BFF나 forward-auth라는 이름은 배치를 말할 뿐이다. 공유 저장소와 장애 복구, session failover, secret 교체가 갖춰져 있는지는 매번 따로 확인한다.
                  - listitem [ref=f15e315]:
                    - generic [ref=f15e316]: "05"
                    - generic [ref=f15e317]:
                      - heading "옮기는 것은 업그레이드가 아니다" [level=3] [ref=f15e318]
                      - paragraph [ref=f15e319]: 패턴을 바꾸면 credential을 저장하고 전달하고 검증하는 주체도 함께 바뀐다. edge header가 계속 늘어나 애플리케이션 도메인 정보까지 전달해야 한다면 BFF에서 인가와 API 조합을 처리하는 구성을 다시 검토할 수 있다.
              - region [ref=f15e320]:
                - heading "적용할 때" [level=2] [ref=f15e321]
                - list [ref=f15e322]:
                  - listitem [ref=f15e323]: 인증 구조를 처음 고를 때
                  - listitem [ref=f15e324]: 한 구조에서 다른 구조로 옮기려 할 때
                  - listitem [ref=f15e325]: 구조를 문서로 비교할 때
                  - listitem [ref=f15e326]: 이름만 보고 고른 구조를 다시 검토할 때
              - region [ref=f15e327]:
                - heading "예외와 주의" [level=2] [ref=f15e328]
                - list [ref=f15e329]:
                  - listitem [ref=f15e330]: 요구가 하나로 좁혀지면 비교가 필요 없다. 브라우저에 token을 둘 수 없고 backend가 API를 조합해야 하면 선택지는 하나다.
                  - listitem [ref=f15e331]: 학습이나 시연이 목적이면 운영 속성 비교를 하지 않아도 된다. 그때는 학습 환경이라고 문서에 적어 둔다.
              - region [ref=f15e332]:
                - heading "예시" [level=2] [ref=f15e333]
                - list [ref=f15e334]:
                  - listitem [ref=f15e335]: "SPA : 브라우저가 code 교환과 token 보관, API 호출을 모두 맡는다"
                  - listitem [ref=f15e336]: "Mediator : refresh token은 server에 있고 access token은 응답 본문으로 브라우저에 간다"
                  - listitem [ref=f15e337]: "BFF : server가 code 교환·token 관리·API 호출을 담당하고 브라우저는 session cookie로 BFF를 호출한다"
                  - listitem [ref=f15e338]: "Forward-Auth : edge가 인증하고 upstream은 edge가 붙인 헤더를 본다"
                - paragraph [ref=f15e339]: 마지막 검증
            - region [ref=f15e340]:
              - paragraph [ref=f15e341]: Relations
              - heading "이 기록과 연결된 맥락" [level=2] [ref=f15e342]
              - list [ref=f15e343]:
                - listitem [ref=f15e344]:
                  - link "브라우저가 code 교환과 token 보관, API 호출을 모두 맡는다. SPA에서 토큰을 직접 관리하면서 드러난 Browser Credential 경계" [ref=f15e345] [cursor=pointer]:
                    - /url: /cases/spa-browser-credential-boundary
                    - generic [ref=f15e346]: 브라우저가 code 교환과 token 보관, API 호출을 모두 맡는다.
                    - strong [ref=f15e347]: SPA에서 토큰을 직접 관리하면서 드러난 Browser Credential 경계
                    - generic [ref=f15e348]: ↗
                - listitem [ref=f15e349]:
                  - link "mediator가 refresh token을 관리하고 브라우저가 access token으로 API를 직접 호출하는 구성을 확인했다. Refresh Token 관리만 서버로 이전, Access Token은 여전히 Browser에 노출" [ref=f15e350] [cursor=pointer]:
                    - /url: /cases/split-custody-access-token
                    - generic [ref=f15e351]: mediator가 refresh token을 관리하고 브라우저가 access token으로 API를 직접 호출하는 구성을 확인했다.
                    - strong [ref=f15e352]: Refresh Token 관리만 서버로 이전, Access Token은 여전히 Browser에 노출
                    - generic [ref=f15e353]: ↗
                - listitem [ref=f15e354]:
                  - link "BFF가 code 교환, token 보관, Resource Server 호출을 모두 처리하는 구성을 확인했다. Browser Token을 없애면서 BFF에 Session과 CSRF 책임이 생긴 과정" [ref=f15e355] [cursor=pointer]:
                    - /url: /cases/bff-session-csrf-responsibility
                    - generic [ref=f15e356]: BFF가 code 교환, token 보관, Resource Server 호출을 모두 처리하는 구성을 확인했다.
                    - strong [ref=f15e357]: Browser Token을 없애면서 BFF에 Session과 CSRF 책임이 생긴 과정
                    - generic [ref=f15e358]: ↗
                - listitem [ref=f15e359]:
                  - link "인증이 edge로 가면 보호 자원이 검증하는 것이 JWT에서 헤더로 바뀐다. Forward-Auth에서 Client가 보낸 Identity Header를 신뢰하면 안 되는 이유" [ref=f15e360] [cursor=pointer]:
                    - /url: /cases/identity-header-trust
                    - generic [ref=f15e361]: 인증이 edge로 가면 보호 자원이 검증하는 것이 JWT에서 헤더로 바뀐다.
                    - strong [ref=f15e362]: Forward-Auth에서 Client가 보낸 Identity Header를 신뢰하면 안 되는 이유
                    - generic [ref=f15e363]: ↗
      - complementary [ref=f15e364]:
        - heading "작업 상태" [level=2] [ref=f15e365]
        - status "편집 상태" [ref=f15e366]: 저장됨
        - generic [ref=f15e367]:
          - generic [ref=f15e368]:
            - term [ref=f15e369]: 저장 버전
            - definition [ref=f15e370]: "11"
          - generic [ref=f15e371]:
            - term [ref=f15e372]: 종류
            - definition [ref=f15e373]: REFERENCE
        - paragraph [ref=f15e374]: 불완전한 초안도 저장할 수 있습니다. Ctrl+S 로도 저장합니다. 게시를 누르면 채워야 할 칸을 그 자리에 표시합니다.
        - generic [ref=f15e375]:
          - button "저장" [disabled] [ref=f15e376]
          - button "게시" [ref=f15e377]
  - paragraph [ref=f15e378]: 버전 11으로 저장했습니다.