User, JWT, Session의 role 계약을 맞춘다

타입과 콜백의 필드 이름이 다르면 role이 경계에서 사라진다.

User

로그인 원본에서 role을 얻는다.

JWT

서버 세션 전략의 role을 보관한다.

Session

필요한 role만 명시적으로 노출한다.

Policy

서버 actor로 permission을 판정한다.

핵심클라이언트에 노출한 role은 UI 힌트이며 최종 판정은 서버 정책이 한다.