セキュリティ・認可アーキテクチャ図

WAF・web・api・データベース・ストレージの各層が守る対象と断り方の違いを、1 リクエストが通る断面として示しています。

データベースの層は権限の無い行を拒否ではなく「存在しない（0 行）」として返し、情報を漏らさない形にしています。

分離の単位はテナントではなく Box で、同じ利用者が複数の Box に別のロールで所属できます。

未認証で届く API があっても、データベースの未認証ロールの権限は 3 表 19 列の参照と関数 1 本の実行だけに絞っています。

本体と受け取り専用の 2 つのホストで Cookie と WAF のポリシーを分け、Cookie を Host-only にして相互に漏れないようにしています。