쿼리가 `document_id`만 조건으로 사용해 다른 조직 문서를 조회할 수 있다. 개선은?

1. 1

   요청의 tenant_id를 클라이언트가 보내게 하고 세션의 tenant_id와 비교하지 않는다.

2. 2

   화면 목록에서 다른 조직 문서만 숨기고 상세 조회 API는 document_id만 사용한다.

3. 3

   서버가 인증 주체의 tenant_id를 조회 조건에 강제하고 객체 소속 권한도 확인한다.

4. 4

   document_id를 추측하기 어려운 UUID로 바꾸면 테넌트 조건 검사를 생략한다.