@eduwork/dsh-oidc 0.2.3 → 0.3.0-dev.1

package/docs/key-binding-protocol.md

@@ -1,227 +1,17 @@
-# Worker User Center Key Binding Protocol v1
+# 旧 Key Binding 接入迁移
 
 **简体中文** | [English](key-binding-protocol.en.md)
 
-## 1. 状态与术语
+当前客户端源码已移除 Key Binding 模型凭据流程：不再调用 /bootstrap 或 /runtime-credential 的 provision、resolve、renew，也不再接受 keyBinding 配置或 backend: native 旧账户桥。
 
-本文定义 `worker-user-center-v1`：`dsh-oidc` 用它把经 OIDC 认证的 subject 与模型运行时 API Key 绑定。这是企业管理协议，不属于 OIDC 标准。
+服务端可以继续实现旧接口，供已发布的老客户端使用。新客户端的机构模型接入统一使用 Access Token；兼容责任不要求新客户端保留旧取 Key 分支。
 
-它是[服务端接口规范](server-integration-contract.md)中托管模型能力档的组成部分，需与 OIDC Provider 和模型网关共同实现。纯身份 Profile 不要求 Key Binding。
+## 迁移步骤
 
-关键词 **必须（MUST）**、**不得（MUST NOT）**、**必需（REQUIRED）**、**应该（SHOULD）**、**不应该（SHOULD NOT）**、**建议（RECOMMENDED）**、**不建议（NOT RECOMMENDED）**、**可以（MAY）** 和 **可选（OPTIONAL）** 按 RFC 2119 与 RFC 8174 解释。
+1. 确认服务端已支持 [oidc-llm 实验契约](gateway-auth/experimental-oidc-llm.md)，或使用 [LiteLLM native 契约](gateway-auth/README.md)。
+2. 把旧 oidc + keyBinding + provider.baseURL 配置替换为完整 auth.discoveryUrl；OIDC 模式另外填写显式实验开关、预注册 public client ID 和 identityMode。
+3. 保留稳定的 Profile/Provider ID 和模型能力元数据，但模型可见性、API 基址来自已验证的发现和目录。
+4. 重新登录。客户端不猜测旧服务的新发现地址，不把旧模型 Key 当作 Access Token，也不自动回退。旧本地凭据不会被新模型路径读取；不批量删除可能仍由其他配置使用的 Key。
+5. 仅身份登录可继续使用 oidc 配置，但不得同时配置模型 provider。
 
-[`protocol/openapi.yaml`](../protocol/openapi.yaml) 是配套的机器可读契约。若正文与 OpenAPI 不一致，本文决定安全和生命周期语义，OpenAPI 决定字段拼写和基本结构。任何差异都属于规范缺陷，必须报告。
-
-## 2. 设计目标
-
-协议区分三类凭据：
-
-- 机构密码：只由 OIDC Provider 看见；
-- OIDC access token：只用于 UserInfo 和 Key Binding 服务；
-- 模型运行时 API Key：只用于模型 Provider 路由。
-
-API Key 是可替换、可撤销的运行凭据，不是用户身份证明。Key Binding 服务端是决定其创建和解析权限的授权权威。
-
-## 3. Base URL 与固定资源
-
-Enterprise Profile 提供一个 HTTPS `keyBinding.baseURL`。其中不得包含 userinfo、query 或 fragment，并且应该包含类似 `/api/worker/v1` 的版本路径。
-
-相对于该 base URL，以下路径固定不变：
-
-| 方法 | 路径 | 用途 |
-| --- | --- | --- |
-| GET | `/bootstrap` | 读取 Provider、能力、授权资格和凭据状态。 |
-| POST | `/runtime-credential/provision` | 状态为 `missing` 时创建或绑定凭据。 |
-| POST | `/runtime-credential/resolve` | 返回活动凭据。 |
-| POST | `/runtime-credential/renew` | 轮换 `expiring` 或 `expired` 凭据。 |
-
-Profile 和用户不得覆盖路径、HTTP 方法、字段映射或凭据引用名。
-
-## 4. 认证与授权
-
-除显式 loopback 开发环境外，每个请求都必须使用 TLS。客户端发送：
-
-```http
-Authorization: Bearer <OIDC access token>
-Accept: application/json
-```
-
-服务端至少必须验证：
-
-- token 签名或 introspection 结果；
-- issuer；
-- 面向 Key Binding 服务的 audience；
-- 过期时间和 not-before；
-- 已认证 subject；
-- 操作所需 scope；
-- 机构成员资格、账号状态和模型授权。
-
-建议 scope：
-
-| 操作 | Scope |
-| --- | --- |
-| bootstrap | `worker.bootstrap.read` |
-| provision | `worker.credential.provision` |
-| resolve | `worker.credential.read` |
-| renew | `worker.credential.renew` |
-
-部署可以使用不同 scope 名称，但这些仍属于 OIDC 授权策略，并列在 Enterprise Profile `oidc.scopes` 中；网络操作本身不变。
-
-服务端必须从已验证 access token 派生绑定 subject，不得接受请求 body 中由调用方提供的 subject ID。
-
-## 5. Bootstrap
-
-请求：
-
-```http
-GET /api/worker/v1/bootstrap HTTP/1.1
-Authorization: Bearer …
-Accept: application/json
-```
-
-最小成功响应：
-
-```json
-{
-  "provider": { "id": "example-ai" },
-  "capabilities": ["worker.credential.provision"],
-  "runtime_credential": {
-    "status": "missing",
-    "provisioning": { "allowed": true }
-  }
-}
-```
-
-返回的 `provider.id` 是必需字段，必须与 Enterprise Profile `provider.id` 完全相等。不一致即视为绑定失败。
-
-有效的 `runtime_credential.status`：
-
-- `missing`：尚未绑定凭据；
-- `active`：可以解析活动凭据；
-- `expiring`：存在 `api_key_id` 时轮换，否则按服务端策略解析；
-- `expired`：存在 `api_key_id` 时轮换，否则按服务端策略解析；
-- `suspended`：授权或账号已停用；本地凭据不得继续视为可用；
-- `unavailable`：服务当前无法提供凭据。
-
-`subject` 可以携带仅供管理面显示的信息。客户端不得用它替换 OIDC `sub` 或 `name`。
-
-若返回 `protocol_version`，其值必须是 `worker.user-center.v1`、`worker-user-center/v1` 或 `eduwork-resources/v1`（三个别名共享同一组 v1 字段与路径，未知版本拒绝）。该字段在 v1 采用阶段可选；未来 major 协议可以要求显式协商。
-
-## 6. Provision
-
-用户必须先完成 OIDC 认证。`dsh-oidc` 还要求显式 UI 操作（`allowProvision: true`），因此仅完成 callback 不会静默创建模型凭据。
-
-```http
-POST /api/worker/v1/runtime-credential/provision HTTP/1.1
-Authorization: Bearer …
-Content-Type: application/json
-Idempotency-Key: <UUID>
-
-{ "provider_id": "example-ai" }
-```
-
-服务端必须：
-
-- 验证该 subject 获准使用 `provider_id`；
-- 执行机构凭据创建策略；
-- 对相同已认证 subject、Provider 和 Idempotency-Key 保证幂等；
-- 在服务端幂等保留窗口内，对重放请求返回相同逻辑结果；
-- 同一 key 与不同 payload 重用时返回 `409 Conflict`；
-- 绝不记录返回的 API Key。
-
-## 7. Resolve
-
-```http
-POST /api/worker/v1/runtime-credential/resolve HTTP/1.1
-Authorization: Bearer …
-Content-Type: application/json
-
-{
-  "provider_id": "example-ai",
-  "api_key_id": "optional-known-id"
-}
-```
-
-Resolve 不得创建新的授权资格。它返回已绑定到 subject 的活动凭据，或者返回 `404`/策略错误。服务端可以在保持同一逻辑 `api_key_id` 的情况下轮换不透明秘密材料，但不得改变 Provider 所有权。
-
-## 8. Renew
-
-```http
-POST /api/worker/v1/runtime-credential/renew HTTP/1.1
-Authorization: Bearer …
-Content-Type: application/json
-Idempotency-Key: <UUID>
-
-{
-  "provider_id": "example-ai",
-  "api_key_id": "key-123"
-}
-```
-
-Renew 要求提供 `api_key_id`，必须幂等，并轮换或替换即将过期/已过期凭据。服务端应该在操作安全允许后尽快使旧秘密材料失效，并且必须记录任何重叠有效窗口。
-
-## 9. 凭据响应
-
-三个 POST 操作成功时都返回：
-
-```json
-{
-  "provider_id": "example-ai",
-  "api_key": "secret-runtime-value",
-  "api_key_id": "key-123",
-  "status": "active",
-  "expires_at": "2026-09-01T00:00:00Z"
-}
-```
-
-`provider_id`、`api_key` 和 `status=active` 是必需字段。Provider 缺失、不匹配或 key 为空时，客户端会拒绝响应。
-
-凭据响应必须包含 `Cache-Control: no-store`，并且应该包含 `Pragma: no-cache`。服务端、代理、APM agent 和 WAF 必须脱敏 Authorization header 与 `api_key` 响应字段。不得把秘密写入 URL、错误详情、分析事件或审计日志。
-
-## 10. 错误
-
-错误应该遵循 RFC 9457，使用 `application/problem+json`，并提供稳定扩展字段 `code`。至少包含：
-
-- `400`：请求或 Provider ID 格式错误；
-- `401`：token 缺失、无效、过期或 audience 错误；
-- `403`：scope、成员资格、授权、停用或创建策略拒绝；
-- `404`：没有可解析或可更新的凭据；
-- `409`：幂等或生命周期冲突；
-- `429`：限流，最好包含 `Retry-After`；
-- `5xx`：不包含秘密材料的服务端失败。
-
-同一逻辑操作重试 provision/renew 时，客户端必须保留相同 Idempotency-Key。`dsh-oidc` 当前只发起一次调用；DSH 模型请求重试属于另一条链路，绝不会重复 Key Binding 操作。
-
-## 11. 生命周期与撤销
-
-以下情况发生时，Key Binding 服务应该撤销模型凭据：
-
-- 机构成员资格或授权终止；
-- OIDC subject 被停用；
-- 凭据被轮换；
-- 安全管理员撤销凭据；
-- 达到最大生命周期。
-
-本地退出会删除缓存模型 Key，但不能单独证明远程凭据已撤销。要求即时远程撤销的部署，应该在未来协议版本增加经过认证的管理操作，而不是复用 OIDC token revocation。
-
-模型网关必须独立执行 API Key 状态、Provider scope、过期和配额策略。持有旧 Key 不得无限期绕过当前企业策略。
-
-## 12. 隐私与审计
-
-服务端应该尽量减少 bootstrap 返回的身份数据。审计记录应该包含事件时间、不透明 subject 引用、Provider ID、操作、结果、策略原因、请求关联 ID 和 `api_key_id`，绝不能包含 API Key 或 OIDC token。
-
-数据保留、访问控制、泄露响应和跨境处理由部署方负责。该协议不授予收集更多个人数据的权限。
-
-## 13. 符合性检查
-
-服务端满足以下条件时符合本规范：
-
-- 实现全部四个固定资源；
-- 使用 OIDC access token 认证请求，绝不使用请求 body 中的 subject 数据；
-- 返回完全匹配的 Provider 绑定；
-- 执行所需 scope 和机构授权；
-- 实现 provision/renew 幂等；
-- 凭据响应使用 no-store；
-- 不记录秘密；
-- 提供稳定生命周期状态和问题代码；
-- 通过仓库 OpenAPI 契约测试和机构特有授权测试。
+这次删除属于尚未发布源码的破坏性配置变更；旧协议细节以历史版本为准。个人 API Key 入口保持可用。

package/docs/oidc-interoperability.en.md

@@ -2,7 +2,7 @@
 
 [简体中文](oidc-interoperability.md) | **English**
 
-OIDC is the identity tier of the [server API specification](server-integration-contract.en.md). An identity-only Profile may implement this tier alone. Managed enterprise keys and automatic model setup additionally require Key Binding and the model gateway.
+OIDC is the identity tier of the [server API specification](server-integration-contract.en.md). An identity-only Profile may implement this tier alone. Model access uses an explicitly advertised token gateway contract; see [gateway integration](gateway-auth/README_EN.md).
 
 ## Standards
 

package/docs/oidc-interoperability.md

@@ -2,7 +2,7 @@
 
 **简体中文** | [English](oidc-interoperability.en.md)
 
-OIDC 是[服务端接口规范](server-integration-contract.md)的身份能力档，纯身份 Profile 可只实现本文件。只有需要托管模型 Key 和自动配置企业模型时，才必须同时提供 Key Binding 和模型网关。
+OIDC 是[服务端接口规范](server-integration-contract.md)的身份能力档，纯身份 Profile 可只实现本文件。模型接入使用独立声明的 Token 网关契约，见[网关接入](gateway-auth/README.md)。
 
 ## 标准依据
 

package/docs/open-integration.en.md

@@ -0,0 +1,11 @@
+# Open identity and model integration
+
+[简体中文](open-integration.md) | **English**
+
+A user can authorize a general-purpose client in the browser and use their model permissions. OIDC verifies identity; the model service explicitly grants Access Token model access. Clients reuse discovery, PKCE, refresh and the model Provider.
+
+Current implementations support [LiteLLM native OAuth](gateway-auth/README_EN.md) and the [experimental oidc-llm draft](gateway-auth/experimental-oidc-llm.en.md). An implementation does not make the draft a finalized standard. Personal models and identity-only sign-in remain independent.
+
+New clients no longer consume Key Binding. Servers may support token model access alongside old client endpoints without retaining old logic in new clients. Institution quota, team policy, web pages and operations remain extensions using bounded Host transport.
+
+Start with the [server contract](server-integration-contract.en.md), [profiles](enterprise-profile.en.md) and [development guide](development.en.md).

package/docs/open-integration.md

@@ -0,0 +1,11 @@
+# 开放身份与模型接入
+
+**简体中文** | [English](open-integration.en.md)
+
+机构用户可以通过一次浏览器授权，在通用客户端使用自己的模型访问权限。OIDC 负责身份验证；模型服务明确授予 Access Token 模型权限，客户端复用发现、PKCE、刷新和模型 Provider。
+
+当前实现支持 [LiteLLM native OAuth](gateway-auth/README.md) 与 [oidc-llm 实验草案](gateway-auth/experimental-oidc-llm.md)。草案仍需评审，已实现不等于标准定稿。个人模型和纯身份登录保留独立入口。
+
+新客户端不再消费 Key Binding。服务端可同时支持新 Token 模型接入和老客户端接口；新客户端无需保留旧实现。机构配额、团队策略、网页和运维功能由机构独立扩展，公共包提供受控 Host 传输。
+
+参与接入请先阅读[服务端契约](server-integration-contract.md)、[配置](enterprise-profile.md)与[开发指南](development.md)。

package/docs/public-resource-protocol.en.md

@@ -1,51 +1,15 @@
-# EduWork public identity and resource protocol v1
+# Token-authorized model resources
 
 [简体中文](public-resource-protocol.md) | **English**
 
-The public `@eduwork/dsh-oidc` package owns identity login, managed model keys and model configuration. Quota and heartbeat are institution-only extensions; the public package neither requests nor renders quota. Remote speech, institution activity heartbeats and institution-specific tools belong in separate plugins. Each deployment is a local single-user client; the browser connects to the local Runtime.
+The current source uses authorized Access Tokens for organization models. Legacy Key Binding management and model-key flows are removed; see [migration](key-binding-protocol.en.md).
 
-## Modes and configuration
-
-Identity-only profiles omit both `keyBinding` and `provider`; successful OIDC login completes identity integration. Users configure personal API keys through ordinary DSH model settings. Organization logout leaves those personal credentials alone. See the [identity-only example](../examples/identity-only.example.json).
-
-Full integration includes both fields. `keyBinding.type` defaults to `worker-user-center-v1`, while `eduwork-resources-v1` explicitly names the public resource contract. Both use the existing deployed wire paths; current institutions do not need new endpoint URLs. See the [discovery example](../examples/resources-discovery.example.json).
-
-Both modes permit other models and personal API keys. Optional `brand` only controls presentation; an empty brand leaves the host product name unchanged.
-
-## Endpoints and credentials
-
-| Capability | Endpoint | Authentication |
+| Operation | Endpoint source | Credential |
 | --- | --- | --- |
-| Identity | OIDC Discovery, Authorization Code + PKCE S256, Token, JWKS, UserInfo | OIDC |
-| Credential state | `GET {keyBinding.baseURL}/bootstrap` | OIDC access token |
-| Provision, resolve, renew | `POST {keyBinding.baseURL}/runtime-credential/{provision,resolve,renew}` | OIDC access token |
-| Models | `GET {provider.baseURL}/models` | Managed model API key |
-| Inference | `POST {provider.baseURL}/chat/completions` | Managed model API key |
-
-The [Key Binding OpenAPI](../protocol/openapi.yaml) retains existing lifecycle fields and idempotency requirements. The [resource OpenAPI](../protocol/resources.openapi.yaml) defines model discovery. Optional bootstrap `protocol_version` accepts `worker.user-center.v1`, `worker-user-center/v1` or `eduwork-resources/v1`; unknown versions fail closed. Bootstrap never replaces verified OIDC identity, trusted endpoint configuration or executable components. Resource HTTP requests do not follow redirects.
-
-## Model discovery
-
-`provider.modelSource` defaults to `profile`, preserving reviewed distribution metadata. With `discovery`, `/models` is read after managed key resolution; initial `models` may be omitted and no fake route is registered before discovery.
-
-The response is `{"data":[{"id":"model-a"}]}` with up to 128 unique model IDs. IDs already declared in the trusted Profile retain their capabilities. New IDs are conservatively text-only with reasoning disabled; model names are not capability evidence. Arbitrary URLs, scripts and adapter configuration in remote responses are ignored.
-
-Empty or invalid discovery preserves the last usable catalog and returns `models_unavailable`. Successful discovery replaces the provider snapshot for new calls; prepared calls retain their earlier snapshot. After restart the first signed-in status read rediscovers models. Personal provider routes are unaffected.
-
-## Host integration
-
-The plugin is `@eduwork/dsh-oidc`, with bundle layer ID `enterprise-oidc`. Use `backend: web` and `uiMode: standard` for the public interface; `external` keeps public RPC while allowing a product-owned UI. `allowEmptyProfiles: true` supports a public client using only personal keys.
-
-`EDUWORK_OIDC_PROFILE` names a single profile, an array, or a `{ "profiles": [...] }` file. When absent, `DSH_OIDC_ENTERPRISE_PROFILE` remains a compatible fallback. Explicit `profilePathEnv` names remain supported.
-
-Existing `oidcAccounts.configuration/status/begin/reconcile/logout/management` RPCs remain available. New `resources(profileID)` returns `{profileID, modelSource, models, issues}` without secrets. `reconcile` automatically refreshes model metadata. The legacy native backend does not call its former quota method; new `backend: desktop` shares the Web OIDC implementation but uses a temporary loopback callback without requiring a persistent WebServer.
-
-Institution plugins may call Host-only `ctx.oidcAccounts.authorizedFetch(profileID, endpoint, init)` to reuse the current OIDC access token, refresh and one 401 retry. It returns a regular `Response`, has no Remote marker, and never exposes tokens to the browser. Allowed origins default to the configured issuer and Key Binding origins. Additional exact HTTPS origins require trusted host `authorizedOrigins` configuration and cannot be set by browser RPC. Concurrent requests share one rotating refresh operation. This is an authenticated transport seam, not a heartbeat or speech business protocol.
-
-Host event `oidc/accounts-changed` carries `{profileID, state}`. Both `authenticated` and `connected` mean identity is signed in; identity-only `connected` does not require a model key. `signed_out` means signed out. Authorized requests without a usable identity throw `oidc_login_required`; forbidden origins throw `oidc_authorized_origin_denied`. A second HTTP 401 remains a Response for the caller to handle. Explicit sign-out should not automatically produce an expiry warning.
-
-Changed issuer, client ID or resource endpoints prevent stale managed keys from reaching a different deployment. Existing Web identity records can retain identity while reacquiring the managed model key. Personal API keys remain unaffected by organization logout or resource-binding changes.
-
+| GET /models | Validated gateway API base | Current Access Token |
+| JSON/SSE inference | Same API base | Current Access Token |
+| Optional institution quota GET | Extension-declared relative path | Current Access Token through shared Host transport |
 
+Catalog data[].id determines model visibility. Reviewed local metadata can describe context, modalities and reasoning but cannot expand server authorization. Logout or reauthorization cancels in-flight calls and prevents prepared old calls from borrowing a new account's credentials. Refresh within the same authorization can continue normally.
 
-Institution account extensions use the [Host transport and account-menu slot contract](account-extensions.en.md). A configured capability string does not activate an extension; install and configure the institution plugin explicitly.
+Public Remote returns only model-resource projections, never Tokens, quota or management APIs. Institutions own quota semantics and scope; see [account extensions](account-extensions.en.md). The [catalog OpenAPI](../protocol/resources.openapi.yaml) complements the [gateway contract](gateway-auth/README_EN.md).

package/docs/public-resource-protocol.md

@@ -1,50 +1,15 @@
-# EduWork 公共身份与资源协议 v1
+# Token 模型资源接入
 
 **简体中文** | [English](public-resource-protocol.en.md)
 
-本规范属于通用 `@eduwork/dsh-oidc`。身份登录、自动获得模型 Key 和自动配置模型由本包实现；配额由独立机构扩展实现，公版既不请求也不展示配额；远端语音、机构活跃心跳和校内服务由独立插件实现。所有客户端均为单机，Web 只是本机 Runtime 的界面。
+当前源码只通过获准 Access Token 接入机构模型。旧 Key Binding 的管理和模型 Key 流程已移除，详见[迁移说明](key-binding-protocol.md)。
 
-## 接入模式
-
-- 纯身份接入：只配置 `oidc`，省略 `keyBinding` 与 `provider`。登录成功即完成身份接入。用户继续在 DSH 原生模型设置添加自己的 API Key，退出机构身份不会删除个人凭据。见 [示例](../examples/identity-only.example.json)。
-- 完整资源接入：同时配置 `keyBinding` 与 `provider`。`keyBinding.type` 默认为 `worker-user-center-v1`；也可显式声明 `eduwork-resources-v1`。两者复用同一组已部署的固定路径，不要求现有机构改造端点。见 [自动目录示例](../examples/resources-discovery.example.json)。
-
-这两个模式都允许其他模型与个人 API Key，不能以组织登录覆盖原生模型配置。可选 `brand` 只负责展示，空品牌保持宿主产品名称。
-
-## 路径与认证
-
-| 能力 | 路径 | 凭据 |
+| 操作 | 地址来源 | 使用凭据 |
 | --- | --- | --- |
-| 身份 | OIDC Discovery、Authorization Code + PKCE S256、Token、JWKS、UserInfo | OIDC 标准 |
-| 凭据状态 | `GET {keyBinding.baseURL}/bootstrap` | OIDC Access Token |
-| 申请、读取、续期 Key | `POST {keyBinding.baseURL}/runtime-credential/{provision,resolve,renew}` | OIDC Access Token |
-| 模型目录 | `GET {provider.baseURL}/models` | 获得的模型 API Key |
-| 模型调用 | `POST {provider.baseURL}/chat/completions` | 获得的模型 API Key |
-
-管理面既有字段、幂等语义见 [Key Binding OpenAPI](../protocol/openapi.yaml)。完整扩展见 [资源 OpenAPI](../protocol/resources.openapi.yaml)。Bootstrap 的可选 `protocol_version` 接受 `worker.user-center.v1`、`worker-user-center/v1` 或 `eduwork-resources/v1`；未知版本拒绝。主体身份只来自经验证的 OIDC，Bootstrap 不覆盖用户身份、发行配置、执行模块或服务地址。资源请求不跟随重定向。
-
-## 模型目录
-
-`provider.modelSource` 默认 `profile`，使用发行方已审查的模型事实，保证现有部署不受发现接口变化影响。设为 `discovery` 时登录/凭据关联后自动读取 `/models`；`models` 可省略，初始化时等待目录，不注册伪造的模型。
-
-`/models` 返回 `{"data":[{"id":"model-a"}]}`，最多 128 个不同 ID。目录内已在 Profile 声明的 ID 沿用其 reasoning、模态和上下文等事实；其他新 ID 仅声明文本与不支持推理档位。不能从模型名猜能力，也不采用服务响应中的执行配置或任意 URL。目录为空、结构错误或暂不可用时保留上一份已可用目录，并单独返回 `models_unavailable`。
-
-成功更新目录会替换同一 Provider 的运行模型快照，新调用使用新目录，已经准备的调用继续使用原快照。重启后首次读取已登录状态会重新发现。个人提供方不受影响。
-
-## 宿主 RPC 与装配
-
-插件名为 `@eduwork/dsh-oidc`，Bundle 层 ID 为 `enterprise-oidc`。`backend: web`、`uiMode: standard` 启用公共界面；`external` 允许产品自绘入口但保留公共 RPC。`allowEmptyProfiles: true` 允许公版先只用个人 Key。
-
-环境变量 `EDUWORK_OIDC_PROFILE` 指向一个 Profile、Profile 数组或 `{ "profiles": [...] }` 文件。未设置时兼容 `DSH_OIDC_ENTERPRISE_PROFILE`；显式 `profilePathEnv` 仍遵循宿主指定名称。
-
-`oidcAccounts.configuration/status/begin/reconcile/logout/management` 保持原契约；新增 `resources(profileID)` 返回 `{profileID, modelSource, models, issues}`，不含秘密。`reconcile` 自动同步模型元数据。旧 `native` backend 不调用原配额桥接口，不新增桌面框架依赖；新桌面 `backend: desktop` 与 Web 共享 OIDC 实现，使用临时 loopback 回调而不依赖常驻 WebServer。
-
-专属插件可在 Host 调用 `ctx.oidcAccounts.authorizedFetch(profileID, endpoint, init)`，复用有效 OIDC Access Token、刷新及一次 401 重试，得到普通 `Response`。此方法没有 Remote 标记，不向浏览器暴露 Token；默认只允许该 Profile 的 issuer 和 Key Binding 精确 origin。额外 HTTPS origin 必须通过受信宿主插件配置 `authorizedOrigins` 声明，浏览器不能改变。并发请求共享一次 Refresh Token 轮换，避免心跳与模型配置同时刷新造成失效。该入口提供认证运输能力，不定义心跳或语音业务。
-
-Host 事件 `oidc/accounts-changed` 返回 `{profileID, state}`。`authenticated` 与 `connected` 都表示身份已登录，纯身份的 `connected` 不要求模型 Key；`signed_out` 表示已退出。未登录的授权请求抛出 `oidc_login_required`，越界 origin 为 `oidc_authorized_origin_denied`；第二次 HTTP 401 仍返回 Response，由业务方处理。主动退出不应自动弹出过期提示。
-
-Issuer、Client ID 或资源端点变化会阻止旧管理凭据流向新环境；旧 Web 登录记录仍可复用身份，但需要重新关联模型 Key。个人 API Key 不受机构注销与资源绑定变化影响。
-
+| 模型目录 GET /models | 已验证网关发现的 API 基址 | 当前 Access Token |
+| 模型 JSON/SSE 调用 | 相同 API 基址 | 当前 Access Token |
+| 可选机构配额 GET | 机构扩展声明的相对路径 | 共享 Host 传输中的当前 Access Token |
 
+目录响应中的 data[].id 决定可见模型；本地元数据可以补充上下文、模态和推理事实，不能扩大服务端授权。退出或重新授权会取消在途调用，并拒绝旧调用使用新账户凭据。同一授权正常刷新可以继续工作。
 
-机构账户扩展使用 [Host 授权传输与账户菜单插槽](account-extensions.md)。声明 capability 不会激活扩展；发行方必须显式安装和配置机构插件。
+公共 Remote 只返回模型资源投影，不包含 Token、配额或管理接口。配额逻辑和授权范围由机构维护，见[账户扩展](account-extensions.md)。[目录 OpenAPI](../protocol/resources.openapi.yaml)与[网关契约](gateway-auth/README.md)共同说明接入表面。

package/docs/release-checklist.en.md

@@ -1,65 +1,11 @@
-# Public release checklist
+# Package release checklist
 
 [简体中文](release-checklist.md) | **English**
 
-Record the maintainer, date, command-output links, and exceptions in the release pull request or release record. An applicable but incomplete security, compatibility, or supply-chain item blocks public release; the current maintainer records why an item is not applicable. During the initial single-maintainer phase, do not invent a second human approval: independent technical review, CI/focused regression evidence, and an explicit maintainer decision form the release basis.
+Source and publication are maintained in EduWork. Follow [the shared package workflow](https://github.com/ecnu/EduWork/blob/main/docs/PACKAGES_EN.md); this package retains its independent npm name and SemVer.
 
-This independent stable version is `0.2.0`; the manifest is updated while dev.7 runtime sources and historical frozen artifacts remain unchanged. The repository locks registry-published DSH RC.1 dependencies. npm authorization does not authorize a GitHub push or Release; record actual publication outcomes separately. Local Windows checks must not be reported as completed Linux/Node matrix or institution deployment acceptance.
-
-## Authority and project metadata
-
-- [ ] Repository owner confirmed public release and the MIT license.
-- [ ] The `freedomkk-qfeng/dsh-oidc` remote and ownership of the `@eduwork/dsh-oidc` npm package are confirmed.
-- [ ] Maintainer, security, and release-manager rosters recorded, accurately stating whether backups and a recovery path currently exist.
-- [ ] GitHub Private Vulnerability Reporting is enabled and its entry point has been checked without sensitive data.
-- [ ] ECNU/ChatECNU name, example text, colors, and trademark notice approved.
-
-## Source and protocol review
-
-- [ ] Independent technical review completed for OIDC, Key Binding, model-gateway invariants, Profile validation, Provider credentials, and the native boundary; the maintainer accepted findings and exceptions in the release record.
-- [ ] Enterprise Profile JSON Schema matches runtime behavior.
-- [ ] OpenAPI matches normative Key Binding prose and implementation.
-- [ ] OIDC standard references and limitations are current.
-- [ ] No unnecessary local reimplementation of a supported DSH capability.
-- [ ] Compatibility matrix and changelog updated.
-
-## Security and privacy
-
-- [ ] Threat model reviewed for actual topology.
-- [ ] Single-user Credential Provider, Profile ownership and shared-key-slot boundaries verified.
-- [ ] OIDC success and negative conformance suite passed against staging.
-- [ ] Cross-user/tenant Key Binding authorization tests passed.
-- [ ] API-key expiry, rotation, suspension, and remote revocation behavior tested.
-- [ ] Confirmed the WebServer listens only on `127.0.0.1` and no reverse proxy, port forward, or tunnel exposes the local session to other users.
-- [ ] Remote TLS, CSP, cookies, CSRF, egress, clock, logging, APM, and backups reviewed.
-- [ ] Privacy/legal review completed for identity and audit data.
-- [ ] Secret scans of both the current tree and publishable Git history found no production hosts, IDs, keys, logs, personal paths, or personal data.
-
-## Supply chain
-
-- [ ] Clean `npm ci` and `npm run check` completed on Windows and Linux with Node 22 and 24.
-- [ ] `npm audit` and static analysis reviewed (not merely run).
-- [ ] Every direct/transitive license and exception reviewed.
-- [ ] npm install scripts reviewed; unexpected scripts denied.
-- [ ] Lockfile diff reviewed and dependency versions pinned as intended.
-- [ ] GitHub Actions pinned to immutable commits before public release.
-
-## Product acceptance
-
-- [ ] Plain Web DSH: login, callback, display name/sub fallback, provision, model call, refresh, check, logout.
-- [ ] Desktop backend: shared Wails/Electron flow, cancellation and model defaults verified; validate any maintained legacy native bridge separately.
-- [ ] Native multimodal and text-only + image-transform routes tested.
-- [ ] Unsupported reasoning-effort model still runs with thinking enabled.
-- [ ] Failure UX tested: Discovery, token, UserInfo, bootstrap, policy denial, model key, expiry, network timeout.
-
-## Build and publish
-
-- [ ] `npm run check` passes from a clean checkout.
-- [ ] `npm pack --dry-run` and extracted tarball reviewed; only intended files included.
-- [ ] Source maps contain no private absolute paths or secrets.
-- [ ] Tag/release notes/checksums prepared.
-- [ ] The actual publication path is recorded: until a Trusted Publisher is configured, run the manual workflow only with `publish=false`; the first stable release may use the maintainer's npm CLI plus browser 2FA to publish the frozen tarball, explicitly without claiming provenance.
-- [ ] When using Trusted Publishing, the Publisher is bound to repository `freedomkk-qfeng/dsh-oidc`, workflow `release.yml`, and environment `npm`; the job uses pinned npm CLI `11.6.2`, and this commit's Windows/Linux × Node 22/24 CI is successful.
-- [ ] Inputs and artifacts are verified for the selected path: the CLI path checks frozen tarball identity, SHA-256, 2FA, and registry results; the Trusted path additionally checks the existing `v<package version>` tag, commit, workflow artifact, and an actual npm provenance attestation.
-- [ ] Publishing credentials were not written to the repository, logs, or deliverables, and the release does not claim Trusted Publishing before it is configured.
-- [ ] Rollback/deprecation and vulnerability-notification plan confirmed.
+- Review the changed behavior, version, changelog, compatibility and package lock.
+- Run npm ci and npm run check in this package directory, plus relevant real Host or browser acceptance when behavior changes. Use synthetic test data.
+- Inspect the actual tarball, public documentation, licenses and exported entries. Never ship credentials or user data.
+- Select this package in packages-release.yml; publish=false only produces artifacts. Explicit publication runs from the matching package version tag, using the npm environment and this repository's trusted publisher.
+- Verify registry bytes before updating a product lock. Publishing npm does not publish a desktop Release or deploy a client.

package/docs/release-checklist.md

@@ -1,65 +1,11 @@
-# 公开发布检查表
+# 包发布检查表
 
 **简体中文** | [English](release-checklist.en.md)
 
-在发布 Pull Request 或发行记录中记录维护者、日期、命令输出链接和例外说明。适用但未完成的安全、兼容或供应链项目会阻止公开发布；不适用项由当前维护者记录原因。项目处于初期单一维护者阶段时，不虚构第二位人工审批，以独立技术复核、CI/专项回归证据和维护者明确决定作为发布依据。
+源码与发布入口统一在 EduWork；遵循[公共包发布流程](https://github.com/ecnu/EduWork/blob/main/docs/PACKAGES.md)，本包保留独立的 npm 名称和 SemVer。
 
-本次独立稳定版本为 `0.2.0`；manifest 已更新，dev.7 的运行源码与历史冻结产物不变。仓库锁使用 npm 可安装的 DSH RC.1 基线。npm 发布授权不等于 GitHub 推送或 Release 授权，按实际执行结果记录。本机 Windows 检查不能冒充 Linux/Node 矩阵或机构真实部署验收。
-
-## 授权与项目元数据
-
-- [ ] 仓库所有者确认公开发布和 MIT 许可证。
-- [ ] `freedomkk-qfeng/dsh-oidc` 远程仓库位置和 `@eduwork/dsh-oidc` npm 包所有权均已确认。
-- [ ] 维护者、安全维护者和发布经理名单已记录，并如实说明当前是否存在替补及恢复路径。
-- [ ] GitHub Private Vulnerability Reporting 已启用并完成一次无敏感数据的入口检查。
-- [ ] ECNU/ChatECNU 名称、示例文字、颜色和商标声明获批。
-
-## 源码与协议审查
-
-- [ ] OIDC、Key Binding、模型网关一致性、Profile 校验、Provider 凭据和 native 边界已完成独立技术复核，维护者已在发布记录中接受结论和例外。
-- [ ] Enterprise Profile JSON Schema 与运行行为一致。
-- [ ] OpenAPI 与 Key Binding 规范正文和实现一致。
-- [ ] OIDC 标准引用和限制仍然有效。
-- [ ] 没有重复实现 DSH 已支持且适用的能力。
-- [ ] 兼容性矩阵和变更日志已更新。
-
-## 安全与隐私
-
-- [ ] 已按实际部署拓扑审查威胁模型。
-- [ ] 单机 Credential Provider、Profile 归属与共享 Key 槽隔离边界已验证。
-- [ ] 已在预发布环境通过 OIDC 成功和反向符合性测试。
-- [ ] 已通过跨用户/跨 tenant Key Binding 授权测试。
-- [ ] 已测试 API Key 过期、轮换、停用和远程撤销行为。
-- [ ] 已确认 WebServer 仅监听 `127.0.0.1`，没有反向代理、端口转发或隧道把本地会话暴露给其他用户。
-- [ ] 已审查远端 TLS、CSP、Cookie、CSRF、出口、时钟、日志、APM 和备份。
-- [ ] 已完成身份和审计数据的隐私/法律审查。
-- [ ] 当前树与待公开 Git 历史的密钥扫描均未发现生产 host、ID、Key、日志、个人路径或个人数据。
-
-## 供应链
-
-- [ ] Windows 和 Linux 上分别使用 Node 22、24 完成干净 `npm ci` 与 `npm run check`。
-- [ ] `npm audit` 和静态分析结果经过审查，而不只是执行。
-- [ ] 所有直接/间接许可证和例外已经审查。
-- [ ] npm 安装脚本已经审查，未预期脚本被拒绝。
-- [ ] Lockfile diff 已审查，依赖版本按预期锁定。
-- [ ] 公开发布前，GitHub Actions 已固定到不可变 commit。
-
-## 产品验收
-
-- [ ] 纯 Web DSH：登录、callback、显示 name/sub 降级、provision、模型调用、刷新、检查连接和退出。
-- [ ] 桌面 backend：Wails/Electron 共用流程、取消和默认模型正确；仍需维护的旧 native 桥单独验证。
-- [ ] 原生多模态和纯文本 + image-transform 路由均已测试。
-- [ ] 不支持 reasoning effort 的模型仍能启用 thinking 并正常运行。
-- [ ] 已测试失败 UX：Discovery、token、UserInfo、bootstrap、策略拒绝、模型 Key、过期和网络超时。
-
-## 构建与发布
-
-- [ ] 在干净 checkout 中通过 `npm run check`。
-- [ ] 已审查 `npm pack --dry-run` 和解压后的 tarball，且只包含预期文件。
-- [ ] Source map 不包含私有绝对路径或秘密。
-- [ ] Tag、发布说明和 checksum 已准备。
-- [ ] 实际发布路径已记录：Trusted Publisher 尚未配置时，手动 workflow 只以 `publish=false` 运行；首次稳定版可以使用维护者 npm CLI + 浏览器 2FA 发布冻结 tarball，且明确不声称 provenance。
-- [ ] 若使用 Trusted Publishing，Publisher 已绑定仓库 `freedomkk-qfeng/dsh-oidc`、workflow `release.yml` 和 environment `npm`；发布 job 使用固定 npm CLI `11.6.2`，且该提交的 Windows/Linux × Node 22/24 CI 已成功。
-- [ ] 发布输入与产物已按所选路径核验：CLI 路径核对冻结 tarball 身份、SHA-256、2FA 和 registry 结果；Trusted 路径还核对现有 `v<package version>` tag、提交、workflow artifact 和实际 npm provenance attestation。
-- [ ] 发布凭据没有写入仓库、日志或交付物；未配置 Trusted Publisher 时也不宣称使用了 Trusted Publishing。
-- [ ] 已确认回滚、弃用和漏洞通知计划。
+- 核对变更行为、版本、变更记录、兼容范围和依赖锁。
+- 在当前包目录执行 npm ci、npm run check；有行为变化时补对应 Host 或浏览器实测，使用合成测试数据。
+- 检查实际 tarball、公开文档、许可证和导出入口，不携带凭据或用户数据。
+- 在 packages-release.yml 中选择本包；publish=false 仅产出候选。明确发布时从匹配包版本的 tag 运行，使用 npm environment 与本仓库的 Trusted Publisher。
+- 核验 registry 中的实际字节后再更新产品锁。发布 npm 不会发布桌面 Release 或替换客户端。