학습 목표인가(Authorization) 가 인증 이후 행동·리소스를 제한함을 설명할 수 있다.RBAC(역할 기반)와 ABAC(속성 기반)의 구조·트레이드오프를 비교할 수 있다.수평·수직 권한(IDOR, privilege escalation)을 인가 설계 관점에서 구분할 수 있다.Policy engine(OPA 등)으로 중앙 정책을 분리하는 패턴을 설명할 수 있다.API에서 fail closed·403 vs 401·리소스 소유 검증을 적용할 수 있다.문제 상황JWT role: admin claim만 보고 삭제 API를 열었다토큰 위조·오발급 시 전면 장애 — 서버 측 정책 없음"로그인만 하면" 모든 주문 조회 API가 동작한다GET /orders/12345 — 남의 orderId만 바꿔도 200 (IDO..
