docs: B-1 — Redis moves the session and leaves the tokens behind

Adding Spring Session Redis grows the context by 81 beans and swaps sessionRepository for RedisSessionRepository, while authorizedClientService stays InMemoryOAuth2AuthorizedClientService. The user then reads as logged in with principal labuser while accessTokenStoredOnServer is false, which is worse than being logged out.

Redis holds only the security context, serialized with Java native serialization, and the refresh token is not there to encrypt in the first place. Three problems on the way: Kubernetes service links overwrote REDIS_PORT with a tcp:// URL, the tests tried to reach Redis, and the resource server was never deployed so a DNS failure looked like a token failure.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

deploy/lab/k8s/bff-redis.yaml

@@ -92,6 +92,14 @@ spec:
           whenUnsatisfiable: ScheduleAnyway
           labelSelector:
             matchLabels: { app: bff }
+      # 쿠버네티스는 같은 네임스페이스의 Service 마다 Docker link 시절의
+      # 환경변수를 자동 주입한다: REDIS_PORT=tcp://10.43.57.116:6379.
+      # 그것이 application.yml 의 ${REDIS_PORT:6379} 를 덮어써서 기동이 실패했다.
+      #   Failed to bind properties under 'spring.data.redis.port' to int:
+      #     Value: "tcp://10.43.57.116:6379"
+      # 이 주입 자체를 끄는 것이 근본 처방이다. 이름을 바꿔 피하면 다음 사람이
+      # 같은 함정에 다시 빠진다.
+      enableServiceLinks: false
       containers:
         - name: bff
           image: keycloak-pattern-bff:lab
@@ -107,8 +115,11 @@ spec:
               value: https://auth.hyeonworks.com/realms/keycloak-patterns
             - name: KC_ISSUER_INTERNAL
               value: http://keycloak.keycloak-lab.svc:8080/realms/keycloak-patterns
+            # echo 는 header-lab 네임스페이스의 8081 이다. 다른 네임스페이스의
+            # 서비스는 <svc>.<ns>.svc 로 부른다. 이름을 틀리면 500 이 나는데
+            # 원인은 UnresolvedAddressException 이지 토큰 문제가 아니다.
             - name: RESOURCE_API_BASE_URL
-              value: http://echo.keycloak-lab.svc:8080
+              value: http://echo.header-lab.svc:8081
             - name: KEYCLOAK_CLIENT_SECRET
               valueFrom:
                 secretKeyRef: { name: bff-secrets, key: KEYCLOAK_CLIENT_SECRET }
@@ -117,6 +128,15 @@ spec:
             # it builds comes back as http:// and Keycloak rejects it.
             - name: SERVER_FORWARD_HEADERS_STRATEGY
               value: native
+            # B-1: Application Session 을 Redis 로 옮긴다.
+            # OAuth2AuthorizedClient 는 이것으로 옮겨지지 않는다 — 조회 키가
+            # 다르기 때문이며, B-0 에서 확인한 사실이다.
+            - name: SPRING_SESSION_STORE_TYPE
+              value: redis
+            - name: REDIS_HOST
+              value: redis.keycloak-lab.svc
+            - name: REDIS_PORT
+              value: "6379"
             - name: JAVA_TOOL_OPTIONS
               value: "-Xms128m -Xmx320m"
           readinessProbe: