%% AP2는 refresh custody와 API caller를 서로 다른 경계에 둔다
%% question: AP2에서 server-held refresh token과 browser-held access token은 어떻게 Resource Server 직접 호출로 이어지는가?
flowchart LR
    n0(["Browser"])
    n1["Spring mediator"]
    n2[("Authorized-client store")]
    n3["Resource Server"]
    n0 -->|"AP2_SESSION"| n1
    n1 -->|"보관 · 현재 access 조회"| n2
    n1 -->|"access_token · type · expiry"| n0
    n0 -->|"Bearer header"| n3
    classDef external stroke-dasharray: 6 4
    class n0 external