# AP2는 refresh custody와 API caller를 서로 다른 경계에 둔다
# Question: AP2에서 server-held refresh token과 browser-held access token은 어떻게 Resource Server 직접 호출로 이어지는가?
direction: right
n0: "Browser" {
  shape: person
}
n1: "Spring mediator" {
  shape: rectangle
}
n2: "Authorized-client store" {
  shape: sql_table
}
n3: "Resource Server" {
  shape: rectangle
}
n0 -> n1: "AP2_SESSION"
n1 -> n2: "보관 · 현재 access 조회"
n1 -> n0: "access_token · type · expiry"
n0 -> n3: "Bearer header"