# 인증 + 인가 분리 예시 (FastAPI)
from fastapi import Depends, HTTPException, Security
from fastapi.security import HTTPBearer, HTTPAuthorizationCredentials

security = HTTPBearer()

async def authenticate(credentials: HTTPAuthorizationCredentials = Security(security)):
    """인증: 토큰이 유효한지 확인"""
    user = verify_jwt(credentials.credentials)
    if not user:
        raise HTTPException(status_code=401, detail="Invalid or expired token")
    return user

async def authorize_admin(user = Depends(authenticate)):
    """인가: 관리자 권한이 있는지 확인"""
    if user.role != "admin":
        raise HTTPException(status_code=403, detail="Admin access required")
    return user

@app.delete("/models/{model_id}", dependencies=[Depends(authorize_admin)])
async def delete_model(model_id: str):
    # 관리자만 모델 삭제 가능
    ...

eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9.     ← Header (Base64URL)
eyJzdWIiOiJ1c2VyXzEyMyIsInJvbGUiOiJhZG1pbiJ9.  ← Payload (Base64URL)
SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c     ← Signature

// Header - 서명 알고리즘과 토큰 타입
{
  "alg": "RS256",
  "typ": "JWT"
}

// Payload - 클레임(Claims)
{
  "iss": "https://auth.example.com",   // 발급자
  "sub": "user_123",                    // 대상(사용자 ID)
  "aud": "https://api.example.com",    // 수신자
  "exp": 1735689600,                    // 만료 시각 (Unix timestamp)
  "iat": 1735686000,                    // 발급 시각
  "role": "admin",                      // 커스텀 클레임
  "team": "ml-platform"                 // 커스텀 클레임
}

// Signature - RS256으로 서명
RSASHA256(
  base64UrlEncode(header) + "." + base64UrlEncode(payload),
  privateKey
)

import jwt  # PyJWT 라이브러리
from datetime import datetime, timezone

def verify_jwt(token: str, public_key: str) -> dict:
    try:
        payload = jwt.decode(
            token,
            public_key,
            algorithms=["RS256"],       # 허용 알고리즘 명시
            audience="https://api.example.com",  # aud 검증
            issuer="https://auth.example.com",   # iss 검증
        )
        return payload
    except jwt.ExpiredSignatureError:
        raise HTTPException(401, "Token has expired")
    except jwt.InvalidAudienceError:
        raise HTTPException(401, "Invalid audience")
    except jwt.InvalidTokenError:
        raise HTTPException(401, "Invalid token")

# 행 수준 격리 예시 - 모든 쿼리에 tenant_id 필터 적용
@app.get("/models")
async def list_models(user = Depends(authenticate)):
    tenant_id = user.tenant_id
    models = db.query(Model).filter(Model.tenant_id == tenant_id).all()
    return models

# API 키에 테넌트 정보 포함
# sk-tenant1-abc123... → tenant_id: "tenant1"
# sk-tenant2-def456... → tenant_id: "tenant2"

# 환경변수로 관리 (절대 하드코딩 금지)
import os
from openai import OpenAI

client = OpenAI(api_key=os.environ["OPENAI_API_KEY"])

# 프로젝트별 API 키 분리 권장
# OPENAI_API_KEY_DEV    → 개발/실험용 (낮은 Rate Limit)
# OPENAI_API_KEY_PROD   → 프로덕션용 (높은 Rate Limit)
# OPENAI_API_KEY_BATCH  → 배치 처리용 (비용 최적화)

# FastAPI + JWT로 모델 서빙 엔드포인트 보호
@app.post("/v1/predict")
async def predict(
    request: PredictRequest,
    user = Depends(authenticate),
):
    # 사용자별 Rate Limit 적용
    check_rate_limit(user.id, user.tier)

    # 사용량 기록 (과금용)
    log_usage(user.tenant_id, input_tokens=len(request.text))

    result = model.predict(request.text)
    return {"prediction": result}

# Kubernetes ServiceAccount + RBAC
apiVersion: v1
kind: ServiceAccount
metadata:
  name: training-pipeline
  namespace: ml-platform
---
apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  name: training-role
  namespace: ml-platform
rules:
  - apiGroups: [""]
    resources: ["pods", "secrets"]
    verbs: ["get", "list", "create"]
  - apiGroups: ["batch"]
    resources: ["jobs"]
    verbs: ["get", "list", "create", "delete"]

# HuggingFace Hub 인증
# 읽기 전용 토큰: hf_xxxReadOnlyxxx (공개 모델 다운로드)
# 쓰기 토큰: hf_xxxWriteTokenxxx (모델 업로드, 프라이빗 접근)

# CLI 로그인
huggingface-cli login --token $HF_TOKEN

# Python에서 사용
from huggingface_hub import login
login(token=os.environ["HF_TOKEN"])

# 환경변수로 자동 인증
# HF_TOKEN=hf_xxx... (자동으로 인식)