document-haness/docs/clean-architecture-backend-template/tech-log-studio/operator-approval-and-destructive-operations/case/case-the-forgeable-approval-survived-on-the-irreversible-half.md

kind, slug, title, topic, project, status, sourceRevision, rootTreeNode, evidenceCapturedOn, assets, evidence, source

kind	slug	title	topic	project	status	sourceRevision	rootTreeNode	evidenceCapturedOn	assets	evidence	source
CASE	the-forgeable-approval-survived-on-the-irreversible-half	위조 가능한 승인이 하필 되돌릴 수 없는 작업 쪽에만 남았다	operator-approval-and-destructive-operations	clean-architecture-backend-template	게시 전	21234e38cdb9a926cbc92bb97a2aee2e4a7d2916	case:the-forgeable-approval-survived-on-the-irreversible-half	2026-09-01	key file the-forgeable-approval-survived-on-the-irreversible-half ../../../final/evidence/rendered/the-forgeable-approval-survived-on-the-irreversible-half.svg	../../../final/evidence/raw/the-forgeable-approval-survived-on-the-irreversible-half.txt	원본 분석 절은 analysis/messaging/messaging-admin-runtime.md §17 · analysis/messaging/messaging-admin-api.md §17 이다.

위조 가능한 승인이 하필 되돌릴 수 없는 작업 쪽에만 남았다

승인을 위조할 수 없게 만드는 수정이 복구 가능한 두 작업에는 적용됐고 복구 불가능한 세 작업에는 적용되지 않았다. 방향이 뒤집혀 있다.

관계

• 승인·검증·실행의 분리와 그것을 타입으로 표현하기 이 사례가 속한 구조다.
• 권한이 센 절반이 설정 한 줄로 켜지면 안 된다 같은 계열의 규칙이다.
• 서명 능력과 검증 능력은 같은 객체에 두지 않는다 같은 표면의 다른 결함이다.
• APPLY를 켜는 설정은 있고 승인을 검증하는 bean은 없다 같은 형태가 다른 어댑터에서 나타난 사례다.

문제

파괴적 작업 인터페이스는 다섯 작업을 다룬다. 재생과 리드라이브는 되돌릴 수 있다. 비우기, 목적지 삭제, 오프셋 되돌리기는 되돌릴 수 없다.

승인된 계획을 표현하는 타입이 작업마다 있다.

결론

수정이 절반에만 적용됐다.

재생과 리드라이브의 승인된 계획 타입은 검증을 통과한 사실 자체를 담은 타입을 요구한다. 그 타입은 검증기만 만들 수 있다.

나머지 세 작업의 승인된 계획 타입은 여전히 public 생성자를 가진 평범한 record 다. 생성자가 보는 것은 널과 음수뿐이다. 그 승인이 이 작업을 인가하는지, 이 목적지를 인가하는지, 영향받는 메시지 수가 승인 상한 이하인지 아무것도 검사하지 않고, 계획 다이제스트 필드 자체가 없다.

방향이 뒤집혀 있다는 것이 이 사례의 요점이다. 실수해도 되돌릴 수 있는 작업이 보호받고, 되돌릴 수 없는 작업이 보호받지 않는다.

현재 구현체가 0건이라 실행되는 결함은 아니다. 그러나 이 인터페이스는 운영자 도구가 구현하라고 존재하는 것이고, 그 도구가 생기는 순간의 모양이 이것이다.

검증 환경

OpenJDK : 21.0.12 Gradle : 9.0.0 확인 방식 : 다섯 작업의 승인된 계획 타입 생성자 대조 소스 수정 : x

재현 조건

원문은 final/evidence/raw/308-admin-runtime-api-and-dependency-defects.txt (EVD-308) 에 있다.

1. 파괴적 작업 인터페이스에서 다섯 작업의 승인된 계획 타입을 찾는다.
2. 각 타입의 생성자가 무엇을 검사하는지 적는다.
3. 검증을 통과한 사실을 담은 타입을 요구하는 것이 어느 작업인지 센다.
4. 그 작업들이 복구 가능한지 확인한다.

본문

승인된 계획을 위조할 수 없게 만드는 수정이 REPLAY 와 REDRIVE 에는 적용됐고 PURGE · DELETE_DESTINATION · OFFSET_RESET 에는 적용되지 않았다.

수정이 적용된 두 작업

:::evidence key="the-forgeable-approval-survived-on-the-irreversible-half" alt="분석 문서 analysis/messaging/messaging-admin-runtime.md 에서 이 기록의 근거 절을 그대로 잘라낸 18줄. 코드베이스를 측정한 것이 아니라 원본 판정이 무엇을 적었는지를 보여 준다." caption="analysis/messaging/messaging-admin-runtime.md 발췌 — 18줄" zoom="true" :::

남은 쪽의 생성자가 보는 것

Approved record 는 public 생성자를 갖고 생성자가 null 과 음수만 본다 — 그 승인이 이 작업을 인가하는지, 이 목적지를 인가하는지, 영향 메시지 수가 승인 상한 이하인지 아무것도 검사하지 않고 계획 다이제스트 필드 자체가 없다.

방향이 뒤집혀 있다

적용된 두 작업은 복구 가능하고, 빠진 세 작업은 복구 불가능하다. 현재 구현체가 0 건이라 실행되는 결함은 아니지만, 이 인터페이스는 운영자 도구가 구현하라고 존재하는 것이고 그 도구가 생기는 순간의 모양이 이것이다.

확인하지 못한 것

없다. 다섯 타입의 생성자와 적용 범위를 대조했다.