프로젝트 소유권 확인
대표 계정은 자신이 소유한 프로젝트만, 외주사는 발급받은 프로젝트 링크 범위만 접근하도록 검사합니다.
SECURITY BOUNDARIES
로그인 화면이 아니라, 데이터의 경계를 지킵니다.
인증·프로젝트 권한·행 단위 정책·API 검증을 겹쳐 적용하고, 운영 데이터와 평가 환경을 분리합니다.
핵심 테이블 RLS
핵심 고객 데이터에 데이터베이스 행 단위 정책을 적용하고, 서버 API에서도 프로젝트 권한을 다시 확인합니다.
만료 가능한 외주사 접근
외주사 링크의 활성 상태와 만료일을 검사합니다. 토큰 회수·해시 저장은 추가 강화 항목으로 관리합니다.
운영·평가 데이터 분리
공개 데모에 운영 고객 데이터를 연결하지 않습니다. 심사 계정은 가상 데이터만 가진 별도 프로젝트로 준비합니다.
사용·변경 이력
로그인과 주요 기능 사용, 승인·반려·변경 이력을 증빙 및 사고 대응 목적에 맞춰 보관합니다.
서버 비밀정보 관리
OpenAI와 데이터베이스 관리 키는 서버 환경에서만 사용하고 클라이언트에 노출하지 않습니다.