인증·세션·권한의 요청별 보안 경계

인증·세션·권한을 분리해야 탈취된 세션, 추측한 객체 ID, 오래된 역할 변경을 각 경계에서 차단할 수 있다.

1

1. AuthN

자격 증명으로 주장한 신원을 확인한다.

2

2. Session

예측 불가능한 식별자로 다음 요청과 신원을 잇는다.

3

3. Resource

서버가 실제 객체와 tenant·소유자를 조회한다.

4

4. AuthZ

주체·행동·객체·문맥을 정책과 비교한다.

5

5. Execute + audit

허용된 작업만 실행하고 보안 결정을 기록한다.

핵심인증·세션·권한의 요청별 보안 경계은 각 요소의 관계와 선택 조건을 함께 읽어야 한다.