Identity

OIDC 身份提供方

标准 OIDC / OAuth2：ES256 + PKCE、refresh 强制轮换、JWKS 可轮换、设备流。token 采用最小 claim，profile 一律经 userinfo 查权威。

组织目录单一真值

组织架构树 + 任职关系 + 人员检索，全平台通讯录的单一真值。改一个人只改 Identity 一处，桌面 / 服务端 / IM 全平台跟随，根治通讯录漂移。

RBAC 角色收敛

全平台只有 platform_admin / tenant_admin / member 三档，判定收回 identity；scope 统一消费。加新产品 = 加一行目录，零下游改动。/p>

套件级 SSO

一次登录，Cohort / Studio / Capabilities / Executor 零二次登录。交换只做同用户 + 第一方产品的横向或降权，持证不升权。

降权最小权限令牌

给 AI 引擎发「单 scope + 短 TTL + 绑死路径」的降权票。引擎不持模型商密钥，即使泄露也只烧一个爆炸半径。

租户切换 = 重签 token/h3>

「我在哪个租户」单一真值写在 token 里；切换走重签，每次签发重新校验授权，角色被撤立即回退——不会漂移成越权。

SCIM 供给 + 企业联邦

标准 SCIM 入站供给，Okta / Azure AD 按标准接入；外部 IdP 经 SAML / OIDC 联邦登录双轨。入离职、部门调动自动生效。

可追溯审计哈希链

每一行审计带 SHA-256 内容哈希 + 前一行哈希，行间锁链。插入、删除、重排、改行都能被检测——「谁干了什么」可验证、可查伪。

敏感信息加密治理

自定义字段声明式 schema；身份证号等敏感信息 AES-256-GCM 加密存储、脱敏返回、明文读取留痕——满足 PIPL 对敏感个人信息可追溯的硬要求。