# AP3는 browser session을 BFF-owned Bearer 요청으로 바꾼다
# Question: AP3에서 OAuth token 없는 브라우저 요청은 어느 경계를 지나 내부 Resource Server Bearer 요청이 되는가?
direction: right
g0: "Browser session boundary" {
  n0: "Browser" {
    shape: person
  }
}
g1: "Server-side application path" {
  n1: "Spring BFF" {
    shape: rectangle
  }
  n2: "Authorized-client store" {
    shape: sql_table
  }
  n3: "Internal Resource Server" {
    shape: rectangle
  }
}
g0.n0 -> g1.n1: "AP3_SESSION · /bff/api/me"
g1.n1 -> g1.n2: "현재 authorized client 조회"
g1.n1 -> g1.n3: "downstream Bearer 요청"