36장. 실제 API·Edge 신뢰 경계

실제 플랫폼은 tenant 누락, 다른 tenant 객체, Access assertion 없는 /admin, Authorization이 있는 asset cache를 negative test한다. API 오류는 stack 대신 RFC 9457 형태를 반환하고 token은 fixture에도 저장하지 않는다. WAF와 application 인가는 서로를 대체하지 않으며 소유한 local·staging 밖에는 scanner를 실행하지 않는다.