%% AP1은 OAuth client와 token custody를 브라우저에 둔다
%% question: AP1에서 code 교환, token 보관, Resource Server JWT 입력은 어느 구성 요소에 놓이는가?
flowchart LR
    n0["Public SPA"]
    n1[("Browser JS memory")]
    n2["Keycloak"]
    n3["Resource Server"]
    n0 -->|"Authorization Code + PKCE S256"| n2
    n2 -->|"access · refresh · ID token"| n0
    n0 -->|"token set 보관"| n1
    n0 -->|"memory-held access JWT · Bearer"| n3