9장. 인증과 OAuth/OIDC

클라이언트는 Authorization Code+PKCE, API는 bearer JWT를 검증한다. JOSE로 issuer, audience, signature, expiry를 확인하고 JWKS cache·rotation을 시험한다. decode 결과만 믿지 않는다.

Guard에서 scope와 role, Service에서 resource ownership을 검사한다. 관리자 endpoint는 별 audit을 남긴다.