ttipo fe355f3943 docs: 계약 1절에 앱 로그인(앱 전용 토큰 경로)을 적고 5절을 앱과 맞춘다 ...

2026-11-05 사용자가 정한 앱 전용 토큰 경로다(웹의 쿠키를 앱에 쓰지 않는다). 서버는 아직 없다 —
앱은 이 절대로 만들고 가짜 서버로 시험하며, 서버는 다음 차례에 이 절대로 만든다.

- POST /api/auth/app/login · refresh · logout — 토큰은 본문으로, Bearer 는 앱 표시(cli: app)
  토큰만 · 쿠키는 웹 토큰만. 세션 규칙 · 실패 카운터 · 2단계 코드 가드 · 제한된 세션은 웹과 같다
- 유예 응답(tokens: null)은 세션 끝 — 액세스 토큰이 남았으면 Bearer 로 조용히 logout,
  logout 본문의 refreshToken 은 선택
- 앱이 할 일: 토큰 보관 · 갱신 한 번에 하나 · AUTH_010 다시 확인 · 늦은 응답 버리기
- 5절(계정 보안): 앱 세션도 같은 목록에, 앱은 sid 로 지금 세션을 안다, 로그인 기록 method app,
  기기 이름 "ARA SYSTEM 앱"

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

2026-11-06 11:06:01 +09:00

..

api-contract.md

docs: 계약 1절에 앱 로그인(앱 전용 토큰 경로)을 적고 5절을 앱과 맞춘다

2026-11-06 11:06:01 +09:00