RBAC enforcement

세션 역할과 서버 권한

클라이언트 UI는 사용성을 위해 숨기고 보여줄 수 있지만, 실제 접근과 데이터 변경 권한은 서버 경계에서 다시 검사해야 합니다.

세션 생성

jwtsession

로그인 시 사용자 역할을 토큰과 세션에 반영해 모든 계층이 같은 기준을 봅니다.

접근 결정

서버 컴포넌트와 API

페이지 진입, 데이터 조회, 수정 요청에서 역할을 검사하고 허용 여부를 결정합니다.

표현 보조

클라이언트 버튼과 메뉴

사용자에게 가능한 행동만 보여주되, 보안 판단의 최종 위치로 쓰지 않습니다.