누구인지 확인
로그인 세션과 외주사 링크의 활성·만료 상태를 확인합니다.
겹쳐서 막는 네 개의 경계
계정 하나가 아니라,
요청 하나마다 권한을 확인합니다.
어느 프로젝트인지 확인
대표는 소유 프로젝트만, 외주사는 초대받은 범위만 접근합니다.
어느 행인지 확인
핵심 고객 데이터에 데이터베이스 행 단위 정책을 적용합니다.
요청마다 다시 확인
서버 API에서도 프로젝트 소유권과 권한을 다시 검증합니다.
실제 제품 요청이 통과하는 방식
“로그인했으니 허용”이 아니라,
이 프로젝트의 권한인지 다시 봅니다.
기능정의서 생성처럼 보호된 요청은 인증 세션, 프로젝트 소유권, 데이터 행 정책과 서버 API 게이트를 차례로 거칩니다. 다른 프로젝트 식별자로 바뀌면 요청을 거부합니다.보호된 기능AI 기능정의서 생성POST /api/features/•••/spec
요청 계정대표 · founder_demo
대상 프로젝트모두의 창업 데모
브라우저가 관리자 키를 갖지 않습니다.세션 정보만 서버에 전달하고, 권한 검증 뒤 필요한 작업을 수행합니다.
POLICY ENGINE요청마다 네 번 확인
4 / 4 통과1인증 세션founder · activePASS
2프로젝트 소유권user_id ↔ project_idPASS
3행 단위 정책요청 프로젝트만 조회PASS
4서버 API 게이트소유권 재검증PASS
데모와 운영의 분리
심사 화면에
고객 데이터는 없습니다.
공개 시연은 창업자 페르소나의 가상 프로젝트로 구성합니다. 실제 고객 프로젝트와 계정은 평가 동선에 연결하지 않습니다.
고객 프로젝트
실제 계정 · 실제 보고 · 실제 첨부
접근 경계
모두의 창업 프로젝트
가상 대표 · 가상 외주사 · 더미 기록
AI를 사용할 때도 같은 원칙
필요한 기록만 보내고,
결정은 사람에게 돌려줍니다.
업무에 필요한 맥락
관련 기능정의·보고·결정만 조립
서버에서만 호출
관리 키를 브라우저에 노출하지 않음
근거와 함께 표시
원문을 다시 확인할 수 있게 연결
사람이 최종 결정
AI 결과만으로 상태를 확정하지 않음