백엔드 커리큘럼 심화: Step-Up Authorization, 고위험 액션 전에 다시 확인하는 서버 권한 계약
이미 로그인한 사용자가 결제, 권한 변경, 데이터 export, 삭제 같은 고위험 액션을 실행하기 전에 재인증과 승인 토큰을 어떤 서버 계약으로 설계할지 정리합니다.
아카이브 글
백엔드 커리큘럼 심화: Admin Impersonation과 Support Access Guardrails, 고객 대신 보기 기능을 안전하게 여는 법
CS나 운영자가 고객 화면을 대신 확인해야 할 때 impersonation, just-in-time 권한, 세션 격리, 마스킹, 감사 로그를 어떻게 설계할지 실무 기준으로 정리합니다.
백엔드 커리큘럼 심화: Object-Level Authorization, IDOR/BOLA를 막는 소유권 검증 플레이북
주문, 파일, 문서, 관리자 도구에서 리소스 ID만으로 접근을 허용하지 않도록 객체 단위 인가, tenant scope, 소유권 검증, 감사 로그, 테스트 기준을 정리합니다.
백엔드 커리큘럼 심화: Authorization Policy Shadow Rollout, 인가 정책을 안전하게 바꾸는 법
RBAC, ABAC, 정책 엔진을 바꿀 때 바로 차단하지 않고 shadow decision, diff taxonomy, canary enforcement, 감사 로그로 안전하게 rollout하는 기준을 정리합니다.
백엔드 커리큘럼 심화: Tenant Context Propagation, 테넌트 누락과 교차 접근을 막는 운영 플레이북
멀티테넌트 서비스에서 tenant_id를 단순 컬럼이 아니라 HTTP, 비동기 메시지, 배치, 로그, 권한 판정까지 전파되는 운영 계약으로 관리하는 기준을 정리합니다.
백엔드 커리큘럼 심화: Token Exchange와 Downscoped Token, 서비스 간 권한을 좁혀 넘기는 법
사용자 토큰이나 넓은 서비스 계정 토큰을 그대로 전달하지 않고, 대상 서비스와 작업 범위에 맞는 짧은 수명의 downscoped token으로 바꾸는 실무 기준을 정리합니다.
백엔드 커리큘럼 심화: Permission Drift와 Access Review, 오래된 권한을 자동으로 회수하는 운영 설계
RBAC·ABAC·ReBAC로 권한을 설계한 뒤 시간이 지나며 생기는 권한 드리프트를 탐지하고, 접근권 검토·자동 회수·감사 증거로 운영하는 기준을 정리합니다.
백엔드 커리큘럼 심화: API Key Lifecycle 발급·회전·폐기 플레이북
API Key를 단순 문자열 토큰이 아니라 발급, 저장, 권한, 사용량 제한, 회전, 폐기, 감사 로그까지 이어지는 운영 자산으로 설계하는 기준을 정리합니다.
백엔드 커리큘럼 심화: Authorization Decision Cache와 권한 무효화 플레이북
권한 판정 결과를 캐시할 때 생기는 stale permission, 정책 버전, tenant 경계, fail-closed 기준을 실무 숫자와 운영 지표 중심으로 정리합니다.
2026 개발 트렌드: Agentic Provisioning Contract, 에이전트가 계정·결제·토큰을 다루기 전에 계약부터 필요하다
에이전트가 클라우드 계정 생성, 결제, 도메인 구매, API 토큰 발급까지 수행하는 흐름에서 UI 자동화보다 중요한 계약·권한·예산·감사 기준을 정리합니다.