최종 Auth 감사 — Subagent B

과거 기록 안내

인증 결함·수정·미해결 항목을 당시 기준으로 기록한 문서입니다.

현재 출시 판단에는 최신 인증 계약과 독립적인 권한 거부 테스트를 사용하세요.

결함	판정
PBKDF2 구분자	FIXED (pbkdf2$iter$salt$hash)
비표준 JWT	CONFIRMED (audit_hash≠HMAC-SHA256; 클레임 seller_id≠sid)
사용자 JWT vs 공유 시크릿	CONFIRMED (prod auth()가 JWT 거부; secret=무스코프)
비활성화 후 토큰	CONFIRMED (users.status 검사 어디에도 없음)
Role/seller 클레임 과신뢰	CONFIRMED (DB 재검증 없음; verify_impl이 seller_nougat 기본값)
레이트 리밋 없음	CONFIRMED
해시 실패 처리	CONFIRMED (unwrap_or_default→빈 해시; 비상수 시간 비교)
로그아웃/폐기 없음	CONFIRMED (무상태; token_version 없음)