@microi.net/cli 5.8.5 → 5.8.7

package/skills/microi-sso/SKILL.md

@@ -1,92 +1,98 @@
----
-name: microi-sso
-description: 设计、实现、配置、迁移、发布和验收 Microi 吾码双向 SSO 身份联邦。用于外部系统通过 OIDC、SAML2、CAS 登录吾码，或吾码作为 OIDC OP、SAML IdP、CAS Server 集成其它系统，以及 diy_sso、账号/角色映射、Secret/证书、官方应用 app.microi.sso 和真实伙伴联调。
----
-
-> **Microi吾码基础规范（强制）：** 任何 AI 模型与宿主每次新建或接续吾码任务，先完整读取 `../workspace-conventions/SKILL.md`，必须执行版本播报、`@microi.net/cli` 后台自动升级、Skills/MCP 同步和进度播报。安装与诊断读取 `../microi-codex-installer/SKILL.md`；更新失败延后重试，不阻断当前工作。
-
-# Microi SSO 身份联邦
-
-## 何时使用
-
-以下任务必须使用本 Skill：
-
-- Keycloak、Entra ID、ADFS、CAS Server、企业统一身份中心登录吾码。
-- 吾码账号登录 ERP、OA、BI、门户或其它第三方系统。
-- 修改 `diy_sso`、SSO 登录页、OIDC/SAML/CAS 接口引擎端点、Claim/角色映射或旧 Token SSO。
-- 发布、安装、升级或验收官方商城应用 `app.microi.sso`。
-
-固定 Gitee、微信、GitHub 登录与 Passkey/TOTP 仍以 `v8-security` 为主；当需求是可配置企业身份联邦时转到本 Skill。
-
-## 先读取什么
-
-按任务读取，不要一次加载全部参考：
-
-- 外部身份源登录吾码：读 [references/inbound.md](references/inbound.md)。
-- 吾码给第三方提供登录：读 [references/outbound.md](references/outbound.md)。
-- 表字段、Secret、证书、安全与存量迁移：读 [references/configuration-and-security.md](references/configuration-and-security.md)。
-- 测试、商城发布、目标安装与交付结论：读 [references/acceptance.md](references/acceptance.md)。
-
-源码修改前同时完整读取 `workspace-conventions/SKILL.md`；认证、DiyToken、秘密或权限任务再读 `v8-security/SKILL.md`；商城任务再读 `app-store/SKILL.md`。
-
-## 不可破坏的事实
-
-1. DiyToken 是进入吾码后的唯一平台会话入口。SSO 认证成功后签发 DiyToken，不创建第二套用户/权限 Token。
-2. 吾码向外提供的 OIDC/SAML/CAS 协议票据独立、短期、可撤销，绝不把 DiyToken 给第三方。
-3. `OsClient + ConnectionKey + Subject` 是外部主体隔离边界；所有回调、票据、缓存和审计都绑定租户。
-4. 新连接只用 OIDC、SAML2、CAS；URL Token 是迁移兼容项，不是推荐协议。
-5. Redirect URI、ACS、Destination、Audience 和 CAS service 必须精确匹配；生产端点必须 HTTPS。
-6. Secret/私钥只存 `mci_system_setting` 的受控值；`diy_sso` 只存 Setting Key。匿名接口只返回登录入口白名单投影。
-7. 外部角色、邮箱或昵称不能直接获得管理员权限。默认 `BoundOnly`，JIT 必须显式默认角色、唯一性、回收和审计。
-8. HTTP 200、构建成功、商城任务入队或包可下载都不是完整 SSO 验收。
-9. SSO 公开 HTTP 路由和业务逻辑都必须由接口引擎承载：连接投影、绑定/JIT、角色与 Claim 映射、审计、登录完成、租户扩展以及 OIDC/SAML/CAS 路由不得重新写进 Controller。只有协议编解码、签名验签、Secret/私钥隔离、一次性票据与 DiyToken 等可信原子可以保留在独立 `Microi.SSO` 类库，并且只能由精确官方 Managed Key 调用。
-10. 客户端调用固定应用接口必须优先使用 `/apiengine/{ApiEngineKey}?OsClient=`，让系统日志/监控按真实接口引擎归因；新版宿主即使接口尚未安装也会返回结构化缺失错误。`/api/ApiEngine/Run` 只保留给无法预知 Key 的旧版兼容调用，禁止新增固定业务依赖；同样禁止调用已删除的 `/api/Sso/Capabilities` 等定制路由。
-
-## 标准工作流
-
-### 存量 TokenLogin 与深链接兼容
-
-- 已启用且精确配置 `ClientSsoApi=/api/SysUser/TokenLogin` 的旧连接使用平台原生 DiyToken 验证；不能错误过滤掉，也不能改走外部身份源的 `sso_legacy_token_login`。未配置、已停用、任意 URL 或非法 Token 必须继续拒绝。
-- SSO 成功后优先保留用户指定的站内深链接及业务参数（如 `ShowClassicLeft/ShowClassicTop`）；只有没有指定目标页才采用用户/系统默认首页。菜单/数据权限仍由正常路由守卫与后端校验。
-- URL Token 使用后从地址栏和下一次 Router 导航对象同时清除，包括 hash query；单独 `history.replaceState` 不够，动态路由重匹配会把旧 query 带回。验收必须检查 TokenLogin 成功、目标页真实可见、URL 无凭据、布局参数保留；不能仅断言 HTTP 302 或 Code=1。
-
-1. 识别方向、协议、租户、身份伙伴、用户生命周期、退出和密钥/证书责任人。
-2. 读取当前 `diy_sso` Schema、菜单、真实连接和已部署 Server/Client 版本；不要从旧截图猜测。
-3. 先选标准协议和安全 profile，再配置字段、Secret/证书 Key、Claim/角色映射。
-4. 先把业务编排写成可随应用发布的接口引擎；仅当现有 V8 无法安全完成底层原子能力时，才扩展最小 `V8.Method`，并把调用权限制到精确官方接口 Key。禁止把整个流程放进新 Controller，也禁止让原子方法接受任意租户、回调地址或 Secret。
-5. 分别验证源码/单测、后端构建、前端构建、运行时端点、浏览器 UI、真实伙伴和多节点。
-6. 平台级资源通过官方应用包发布；官方源用 `microi_itdos` 更新并发布，普通目标租户走商城安装/升级任务。
+---
+name: microi-sso
+description: 设计、实现、配置、迁移、发布和验收 Microi 吾码双向 SSO 身份联邦。用于外部系统通过 OIDC、SAML2、CAS 登录吾码，或吾码作为 OIDC OP、SAML IdP、CAS Server 集成其它系统，以及 diy_sso、账号/角色映射、Secret/证书、官方应用 app.microi.sso 和真实伙伴联调。
+---
+
+> **Microi吾码基础规范（强制）：** 任何 AI 模型与宿主每次新建或接续吾码任务，先完整读取 `../workspace-conventions/SKILL.md`，必须执行版本播报、`@microi.net/cli` 后台自动升级、Skills/MCP 同步和进度播报。安装与诊断读取 `../microi-codex-installer/SKILL.md`；更新失败延后重试，不阻断当前工作。
+
+# Microi SSO 身份联邦
+
+## 何时使用
+
+以下任务必须使用本 Skill：
+
+- Keycloak、Entra ID、ADFS、CAS Server、企业统一身份中心登录吾码。
+- 吾码账号登录 ERP、OA、BI、门户或其它第三方系统。
+- 修改 `diy_sso`、SSO 登录页、OIDC/SAML/CAS 接口引擎端点、Claim/角色映射或旧 Token SSO。
+- 发布、安装、升级或验收官方商城应用 `app.microi.sso`。
+
+固定 Gitee、微信、GitHub 登录与 Passkey/TOTP 仍以 `v8-security` 为主；当需求是可配置企业身份联邦时转到本 Skill。
+
+## 先读取什么
+
+按任务读取，不要一次加载全部参考：
+
+- 外部身份源登录吾码：读 [references/inbound.md](references/inbound.md)。
+- 吾码给第三方提供登录：读 [references/outbound.md](references/outbound.md)。
+- 表字段、Secret、证书、安全与存量迁移：读 [references/configuration-and-security.md](references/configuration-and-security.md)。
+- 测试、商城发布、目标安装与交付结论：读 [references/acceptance.md](references/acceptance.md)。
+
+源码修改前同时完整读取 `workspace-conventions/SKILL.md`；认证、DiyToken、秘密或权限任务再读 `v8-security/SKILL.md`；商城任务再读 `app-store/SKILL.md`。
+
+## 不可破坏的事实
+
+1. DiyToken 是进入吾码后的唯一平台会话入口。SSO 认证成功后签发 DiyToken，不创建第二套用户/权限 Token。
+2. 吾码向外提供的 OIDC/SAML/CAS 协议票据独立、短期、可撤销，绝不把 DiyToken 给第三方。
+3. `OsClient + ConnectionKey + Subject` 是外部主体隔离边界；所有回调、票据、缓存和审计都绑定租户。
+4. 新连接只用 OIDC、SAML2、CAS；URL Token 是迁移兼容项，不是推荐协议。
+5. Redirect URI、ACS、Destination、Audience 和 CAS service 必须精确匹配；生产端点必须 HTTPS。
+6. Secret/私钥只存 `mci_system_setting` 的受控值；`diy_sso` 只存 Setting Key。匿名接口只返回登录入口白名单投影。
+7. 外部角色、邮箱或昵称不能直接获得管理员权限。默认 `BoundOnly`，JIT 必须显式默认角色、唯一性、回收和审计。
+8. HTTP 200、构建成功、商城任务入队或包可下载都不是完整 SSO 验收。
+9. SSO 公开 HTTP 路由和业务逻辑都必须由接口引擎承载：连接投影、绑定/JIT、角色与 Claim 映射、审计、登录完成、租户扩展以及 OIDC/SAML/CAS 路由不得重新写进 Controller。只有协议编解码、签名验签、Secret/私钥隔离、一次性票据与 DiyToken 等可信原子可以保留在独立 `Microi.SSO` 类库，并且只能由精确官方 Managed Key 调用。
+10. 客户端调用固定应用接口必须优先使用 `/apiengine/{ApiEngineKey}?OsClient=`，让系统日志/监控按真实接口引擎归因；新版宿主即使接口尚未安装也会返回结构化缺失错误。`/api/ApiEngine/Run` 只保留给无法预知 Key 的旧版兼容调用，禁止新增固定业务依赖；同样禁止调用已删除的 `/api/Sso/Capabilities` 等定制路由。
+
+## 标准工作流
+
+### 存量 TokenLogin 与深链接兼容
+
+- 已启用且精确配置 `ClientSsoApi=/api/SysUser/TokenLogin` 的旧连接使用平台原生 DiyToken 验证；不能错误过滤掉，也不能改走外部身份源的 `sso_legacy_token_login`。未配置、已停用、任意 URL 或非法 Token 必须继续拒绝。
+- SSO 成功后优先保留用户指定的站内深链接及业务参数（如 `ShowClassicLeft/ShowClassicTop`）；只有没有指定目标页才采用用户/系统默认首页。菜单/数据权限仍由正常路由守卫与后端校验。
+- URL Token 使用后从地址栏和下一次 Router 导航对象同时清除，包括 hash query；单独 `history.replaceState` 不够，动态路由重匹配会把旧 query 带回。验收必须检查 TokenLogin 成功、目标页真实可见、URL 无凭据、布局参数保留；不能仅断言 HTTP 302 或 Code=1。
+
+1. 识别方向、协议、租户、身份伙伴、用户生命周期、退出和密钥/证书责任人。
+2. 读取当前 `diy_sso` Schema、菜单、真实连接和已部署 Server/Client 版本；不要从旧截图猜测。
+3. 先选标准协议和安全 profile，再配置字段、Secret/证书 Key、Claim/角色映射。
+4. 先把业务编排写成可随应用发布的接口引擎；仅当现有 V8 无法安全完成底层原子能力时，才扩展最小 `V8.Method`，并把调用权限制到精确官方接口 Key。禁止把整个流程放进新 Controller，也禁止让原子方法接受任意租户、回调地址或 Secret。
+5. 分别验证源码/单测、后端构建、前端构建、运行时端点、浏览器 UI、真实伙伴和多节点。
+6. 平台级资源通过官方应用包发布；官方源用 `microi_itdos` 更新并发布，普通目标租户走商城安装/升级任务。
 7. 最终明确已验证与未验证边界，尤其是“配置包已发布”与“运行时代码已部署”的区别。
 
-## 官方应用合同
-
-- AppId：`app.microi.sso`
-- 名称：`SSO 身份联邦`
-- 资源：`diy_sso`、`/system/sso`、字段/布局/视图、34 个 Managed 核心接口引擎和 1 个 CreateIfMissing 租户 Hook；其中 24 个 `sso_http_*` 接管原 SSO Controller 的全部公开路由，不发布用户绑定、连接实例、Secret、证书或示例账号。
-- `ResourcePolicies.ApiEngines` 必须逐 Key 显式声明。核心使用 `Managed/Platform`；`sso_event_hook` 使用 `CreateIfMissing/Tenant`，安装后永不被官方覆盖。
-- 官方 `iTdos` 是发布源，保护性拒绝安装属于正确行为；普通租户安装才必须轮询到 `Succeeded`。
-
-## C# 与接口引擎责任线
-
-接口引擎固定承载：
-
-- `sso_capabilities`、`sso_legacy_capabilities` 的匿名白名单投影；
-- `sso_connection_runtime`、`sso_user_runtime` 的内部最小投影；
-- `sso_resolve_federated_identity` 的绑定、JIT 与角色映射；
-- `sso_outbound_claims`、`sso_protocol_event`、`sso_event_hook`；
-- `sso_complete_login`、`sso_rotate_client_secret`、`sso_legacy_token_login` 的业务编排。
-- 24 个 `sso_http_*` Managed 端点：`/api/Sso/Begin`、`/api/Sso/CompleteAuthorization`、OIDC 回调/Discovery/JWKS/Authorize/Token/UserInfo/Introspect/Revoke/Logout、CAS 回调/Login/Validate/Logout、SAML Begin/ACS/Login/Complete/Metadata/Logout。
-- 历史兼容路由 `/api/Sso/CompleteLogin`、`/api/Sso/LegacyCapabilities`、`/api/Sso/RotateClientSecret` 和 `/api/Sso/SamlBegin` 只用于识别旧客户端并返回受控兼容结果；新宿主优先使用上面的接口引擎地址，不能因旧路由存在而恢复通用 SSO Controller。
-
-C# 只保留：
-
-- `Microi.SSO` 的 `SsoProtocolRuntime` 中 OIDC/SAML/CAS 报文编解码、签名验签和协议响应构造；该类型不是 MVC Controller、没有 Route/Http 特性，不直接拥有公开地址；
-- Secret、私钥、证书和协议 Token 的可信隔离；
-- 高熵一次性 code/ticket、重放保护和 DiyToken 签发；
-- 仅允许精确 Managed Key 调用的 `RunSsoProtocol`、`CreateFederatedUser`、`CreateSsoLoginTicket`、`CompleteSsoLogin`、`RotateSsoClientSecret` 原子。
-
-公开协议路由使用 `ApiAddress`（包括 `{OsClient}`、`{ConnectionKey}` 路径模板）和 `ResponseType=HTTP`。接口引擎可以返回状态码、Content-Type、XML/纯文本、重定向和安全响应头；`Set-Cookie` 等高风险响应头只能来自 `RunSsoProtocol` 签名的可信响应。不得因为协议需要原始 HTTP 而恢复任何 `Sso*Controller`。
-
-新增 SSO 需求先判断是否只需修改上述接口引擎。只有缺少不可伪造、不可泄露的底层原子时才增加 V8 方法；增加后同时更新应用 `RequiredPlatformCapabilities`、后端文档、测试与最低版本。
-
-详细用户文档：`microi.doc/docs/doc/more/sso.md`。
+### 签名异常排查
+
+- 先区分 DiyToken 的 HS256、OIDC 的 RS256、SAML XML 签名和接口引擎 HTTP 响应内部签名，保留脱敏异常类型、TraceId、运行版本与失败请求顺序；截图中的“签名异常”不能直接判定为密钥错误。
+- OIDC 第一次成功、第二次登录或退出失败且异常链包含已释放 RSA 时，检查请求级 RSA 与 IdentityModel 缓存签名器的生命周期。平台请求密钥统一使用 `SsoSecurity.CreateRequestScopedRsaKey`，禁用该密钥的签名器缓存；不能修改全局 `CryptoProviderFactory.Default`、取消验签、轮换 `AuthSecret` 或删除租户证书来掩盖错误。
+- 回归须用实际发布依赖重复加载同一私钥，先复现旧缓存路径失败，再验证连续/并发签名、旧 `id_token_hint` 验签和篡改/错误密钥/issuer/audience 拒绝。后端原子修复没有声明式资源变化时，无需为空升版官方 SSO 应用，但必须独立核对后端渠道与客户部署边界。
+
+## 官方应用合同
+
+- AppId：`app.microi.sso`
+- 名称：`SSO 身份联邦`
+- 资源：`diy_sso`、`/system/sso`、字段/布局/视图、34 个 Managed 核心接口引擎和 1 个 CreateIfMissing 租户 Hook；其中 24 个 `sso_http_*` 接管原 SSO Controller 的全部公开路由，不发布用户绑定、连接实例、Secret、证书或示例账号。
+- `ResourcePolicies.ApiEngines` 必须逐 Key 显式声明。核心使用 `Managed/Platform`；`sso_event_hook` 使用 `CreateIfMissing/Tenant`，安装后永不被官方覆盖。
+- 官方 `iTdos` 是发布源，保护性拒绝安装属于正确行为；普通租户安装才必须轮询到 `Succeeded`。
+
+## C# 与接口引擎责任线
+
+接口引擎固定承载：
+
+- `sso_capabilities`、`sso_legacy_capabilities` 的匿名白名单投影；
+- `sso_connection_runtime`、`sso_user_runtime` 的内部最小投影；
+- `sso_resolve_federated_identity` 的绑定、JIT 与角色映射；
+- `sso_outbound_claims`、`sso_protocol_event`、`sso_event_hook`；
+- `sso_complete_login`、`sso_rotate_client_secret`、`sso_legacy_token_login` 的业务编排。
+- 24 个 `sso_http_*` Managed 端点：`/api/Sso/Begin`、`/api/Sso/CompleteAuthorization`、OIDC 回调/Discovery/JWKS/Authorize/Token/UserInfo/Introspect/Revoke/Logout、CAS 回调/Login/Validate/Logout、SAML Begin/ACS/Login/Complete/Metadata/Logout。
+- 历史兼容路由 `/api/Sso/CompleteLogin`、`/api/Sso/LegacyCapabilities`、`/api/Sso/RotateClientSecret` 和 `/api/Sso/SamlBegin` 只用于识别旧客户端并返回受控兼容结果；新宿主优先使用上面的接口引擎地址，不能因旧路由存在而恢复通用 SSO Controller。
+
+C# 只保留：
+
+- `Microi.SSO` 的 `SsoProtocolRuntime` 中 OIDC/SAML/CAS 报文编解码、签名验签和协议响应构造；该类型不是 MVC Controller、没有 Route/Http 特性，不直接拥有公开地址；
+- Secret、私钥、证书和协议 Token 的可信隔离；
+- 高熵一次性 code/ticket、重放保护和 DiyToken 签发；
+- 仅允许精确 Managed Key 调用的 `RunSsoProtocol`、`CreateFederatedUser`、`CreateSsoLoginTicket`、`CompleteSsoLogin`、`RotateSsoClientSecret` 原子。
+
+公开协议路由使用 `ApiAddress`（包括 `{OsClient}`、`{ConnectionKey}` 路径模板）和 `ResponseType=HTTP`。接口引擎可以返回状态码、Content-Type、XML/纯文本、重定向和安全响应头；`Set-Cookie` 等高风险响应头只能来自 `RunSsoProtocol` 签名的可信响应。不得因为协议需要原始 HTTP 而恢复任何 `Sso*Controller`。
+
+新增 SSO 需求先判断是否只需修改上述接口引擎。只有缺少不可伪造、不可泄露的底层原子时才增加 V8 方法；增加后同时更新应用 `RequiredPlatformCapabilities`、后端文档、测试与最低版本。
+
+详细用户文档：`microi.doc/docs/doc/more/sso.md`。

package/skills/microi-sso/references/acceptance.md

@@ -1,49 +1,49 @@
-# 验收、商城发布与交付结论
-
-## 分层证据
-
-| 层 | 最低证据 |
-|---|---|
-| 源码 | 协议/安全原语测试，静态扫描无 Secret/Token 日志 |
-| 后端构建 | 隔离输出 `dotnet build` 成功，不覆盖共享运行目录 |
-| 前端构建 | 现代包和项目要求的兼容包完成 |
-| 应用包 | 可重复生成；Name/AppId/Version、DDL、字段数、菜单、空数据集、35 个接口引擎源码同源与 ResourcePolicies 校验 |
-| 官方商城 | `microi_itdos` 发布后回读 `sys_microistore` 与官方资源 API；状态、版本、包哈希一致 |
-| 目标租户 | 安装/升级任务终态 `Succeeded`，再读真实表、字段、菜单、安装版本 |
-| 运行时 | Capabilities、Discovery/Metadata/JWKS 和实际使用端点命中已部署程序集 |
-| 浏览器 | 登录入口、弹窗 Origin、URL 清理、管理页 7 Tab、秘密无明文 |
-| 伙伴联调 | 登录/拒绝/过期/重放/退出/停用/角色变化/轮换 |
-| 多节点 | state、code、ticket、session、撤销和缓存跨节点一致 |
-
-## 官方应用发布
-
-1. 使用官方 `microi_itdos`，核对绑定 `https://api.itdos.com` 与 `OsClient=iTdos`。
-2. 在发布源更新真实 `diy_sso`、字段、表单 Tabs 和菜单视图并回读。
-3. 导出精确菜单/表和 35 个接口引擎，不带连接数据、用户绑定、Secret、证书或示例账号；接口源码必须与 `Microi-V8-Engine/.../SSO身份联邦` 逐字同源。
-4. AppId 固定 `app.microi.sso`，PublisherType 为官方应用；34 个核心 Key 为 `Managed/Platform`，`sso_event_hook` 为 `CreateIfMissing/Tenant`。
-5. 发布后从官方资源 API 读取 `app.microi.sso.json`，校验 SHA-256、版本、1 菜单、1 表、64 字段、35 个接口引擎及策略。
-6. 官方 iTdos 是发布源，安装任务被“发布源不允许安装”拒绝是保护性终态；不要绕过或伪装成成功。
-7. 普通目标租户才执行安装/更新，并轮询后台任务到终态。Pending/Running/入队不算成功。
-
-## 协议负向用例
-
-- OIDC：state/nonce/PKCE 错、code 重放、issuer/audience 错、未知 kid、过期 token、refresh 重放、回调前缀攻击。
-- SAML：签名错、过期、Audience/Destination/InResponseTo 错、Request/Assertion 重放、错误证书、未授权 ACS。
-- CAS：ticket 重放、service 不同、过期 ticket、错误租户、CAS 失败响应。
-- 通用：跨租户连接、停用用户、停用连接、SSRF 私网/回环、访问密钥会话授权、匿名读取 `diy_sso`。
-
-## 结论措辞
-
-只有真实伙伴和多节点验收也通过，才能说“该协议连接已可生产使用”。
-
-- 包已发布但 Server/Client 未部署：写“官方配置包已发布，运行时代码待部署”。
-- 端点冒烟通过但无真实 IdP/SP：写“协议端点已验证，伙伴联调待完成”。
-- 官方源安装被保护性拒绝：写“发布源保护生效，不构成普通租户安装证据”。
-- 因用户未授权输入密码而无法浏览器登录：写明 UI 登录后验收未完成，不用接口/源码代替视觉证据。
-
-## 404 与应用缺失回归
-
-- 客户端能力发现和登录完成只允许调用 `/apiengine/{ApiEngineKey}?OsClient=`；固定业务不得新增 `/api/ApiEngine/Run` 依赖。
-- 在未安装 `app.microi.sso` 的租户调用通用入口，应返回结构化“接口引擎不存在”；不能返回 `/api/Sso/Capabilities` 路由 404。
-- 安装后回读 35 个 `sys_apiengine` 行并刷新缓存，再验证 `sso_capabilities` 为 `Code=1`，并验证 24 个 `sso_http_*` 的 `ApiAddress`、`ResponseType=HTTP` 与 Managed 策略。
-- 所有 `Sso*Controller.cs`、`/api/Sso/Capabilities`、`LegacyCapabilities`、`CompleteLogin`、`RotateClientSecret` 与 `/api/SysUser/SsoPengrui` 必须保持删除；`/api/Sso/Begin`、`CompleteAuthorization` 与回调地址只允许作为接口引擎 `ApiAddress` 存在。
+# 验收、商城发布与交付结论
+
+## 分层证据
+
+| 层 | 最低证据 |
+|---|---|
+| 源码 | 协议/安全原语测试，静态扫描无 Secret/Token 日志 |
+| 后端构建 | 隔离输出 `dotnet build` 成功，不覆盖共享运行目录 |
+| 前端构建 | 现代包和项目要求的兼容包完成 |
+| 应用包 | 可重复生成；Name/AppId/Version、DDL、字段数、菜单、空数据集、35 个接口引擎源码同源与 ResourcePolicies 校验 |
+| 官方商城 | `microi_itdos` 发布后回读 `sys_microistore` 与官方资源 API；状态、版本、包哈希一致 |
+| 目标租户 | 安装/升级任务终态 `Succeeded`，再读真实表、字段、菜单、安装版本 |
+| 运行时 | Capabilities、Discovery/Metadata/JWKS 和实际使用端点命中已部署程序集 |
+| 浏览器 | 登录入口、弹窗 Origin、URL 清理、管理页 7 Tab、秘密无明文 |
+| 伙伴联调 | 登录/拒绝/过期/重放/退出/停用/角色变化/轮换 |
+| 多节点 | state、code、ticket、session、撤销和缓存跨节点一致 |
+
+## 官方应用发布
+
+1. 使用官方 `microi_itdos`，核对绑定 `https://api.itdos.com` 与 `OsClient=iTdos`。
+2. 在发布源更新真实 `diy_sso`、字段、表单 Tabs 和菜单视图并回读。
+3. 导出精确菜单/表和 35 个接口引擎，不带连接数据、用户绑定、Secret、证书或示例账号；接口源码必须与 `Microi-V8-Engine/.../SSO身份联邦` 逐字同源。
+4. AppId 固定 `app.microi.sso`，PublisherType 为官方应用；34 个核心 Key 为 `Managed/Platform`，`sso_event_hook` 为 `CreateIfMissing/Tenant`。
+5. 发布后从官方资源 API 读取 `app.microi.sso.json`，校验 SHA-256、版本、1 菜单、1 表、64 字段、35 个接口引擎及策略。
+6. 官方 iTdos 是发布源，安装任务被“发布源不允许安装”拒绝是保护性终态；不要绕过或伪装成成功。
+7. 普通目标租户才执行安装/更新，并轮询后台任务到终态。Pending/Running/入队不算成功。
+
+## 协议负向用例
+
+- OIDC：state/nonce/PKCE 错、code 重放、issuer/audience 错、未知 kid、过期 token、refresh 重放、回调前缀攻击。
+- SAML：签名错、过期、Audience/Destination/InResponseTo 错、Request/Assertion 重放、错误证书、未授权 ACS。
+- CAS：ticket 重放、service 不同、过期 ticket、错误租户、CAS 失败响应。
+- 通用：跨租户连接、停用用户、停用连接、SSRF 私网/回环、访问密钥会话授权、匿名读取 `diy_sso`。
+
+## 结论措辞
+
+只有真实伙伴和多节点验收也通过，才能说“该协议连接已可生产使用”。
+
+- 包已发布但 Server/Client 未部署：写“官方配置包已发布，运行时代码待部署”。
+- 端点冒烟通过但无真实 IdP/SP：写“协议端点已验证，伙伴联调待完成”。
+- 官方源安装被保护性拒绝：写“发布源保护生效，不构成普通租户安装证据”。
+- 因用户未授权输入密码而无法浏览器登录：写明 UI 登录后验收未完成，不用接口/源码代替视觉证据。
+
+## 404 与应用缺失回归
+
+- 客户端能力发现和登录完成只允许调用 `/apiengine/{ApiEngineKey}?OsClient=`；固定业务不得新增 `/api/ApiEngine/Run` 依赖。
+- 在未安装 `app.microi.sso` 的租户调用通用入口，应返回结构化“接口引擎不存在”；不能返回 `/api/Sso/Capabilities` 路由 404。
+- 安装后回读 35 个 `sys_apiengine` 行并刷新缓存，再验证 `sso_capabilities` 为 `Code=1`，并验证 24 个 `sso_http_*` 的 `ApiAddress`、`ResponseType=HTTP` 与 Managed 策略。
+- 所有 `Sso*Controller.cs`、`/api/Sso/Capabilities`、`LegacyCapabilities`、`CompleteLogin`、`RotateClientSecret` 与 `/api/SysUser/SsoPengrui` 必须保持删除；`/api/Sso/Begin`、`CompleteAuthorization` 与回调地址只允许作为接口引擎 `ApiAddress` 存在。

package/skills/microi-sso/references/configuration-and-security.md

@@ -1,53 +1,53 @@
-# 配置、Secret、安全与迁移
-
-## diy_sso 分组
-
-- `basic`：Key、名称、方向、协议、启用、排序。
-- `oidc`：Issuer/Discovery/端点、Client、Scope、精确 Redirect URI。
-- `saml`：Entity ID、Metadata、SSO/SLO、ACS。
-- `cas`：Server URL、版本。
-- `mapping`：Subject/Account/Name/Email/Role Claim、JSON 映射、JIT。
-- `security`：Secret/证书设置 Key、签名/加密、PKCE/nonce、生命周期、私网开关。
-- `legacy`：旧 Server/Client API、TokenName、GetTokenType。
-
-`diy_sso` 是管理员专用平台表。匿名能力接口只投影 ConnectionKey、名称、协议、图标、说明和发起地址；旧兼容投影只允许同源 `/api/` 路径与安全 Token 参数名。
-
-匿名投影由 `sso_capabilities` / `sso_legacy_capabilities` 接口引擎提供；任何 Controller 都不得直接查询并返回 `diy_sso`。公开协议地址由 `sso_http_*` Managed 接口引擎拥有，可信原子再通过 StopHttp 的 `sso_connection_runtime` 取得最小运行投影。客户端能力类接口统一调用 `/apiengine/{ApiEngineKey}?OsClient=`；标准伙伴协议使用应用声明的 `ApiAddress`，其中 `{OsClient}`、`{ConnectionKey}` 由动态路由安全提取并覆盖同名外部参数。
-
-## Secret 与证书
-
-- `ClientSecretSettingKey` 等字段只存 `mci_system_setting` Key。
-- 第三方 Client Secret 和私钥证书使用后端 Secret 存储，不出现在日志、导出、包、浏览器或 MCP 回读。
-- 吾码对外 OIDC Client Secret 只存专用密码哈希；不能用 AES/DES 代替验证哈希。
-- SAML 验签/加密公开证书与签名/解密私钥严格区分用途。
-- 证书/签名 Key 轮换要有新旧重叠、伙伴确认、撤销和回滚窗口。
-
-## 网络和 URL
-
-所有外部 Discovery、JWKS、Metadata、Token、UserInfo 地址先过 HTTPS/SSRF 检查。默认拒绝回环、私网、链路本地、带用户信息 URL 和 DNS 重绑定；内网 IdP 只能由管理员显式开启并用网络出口白名单补强。
-
-Redirect/Logout/ACS/CAS service 使用规范化后的绝对 URL 精确比较。不要允许通配符、子域后缀、前缀或 fragment。反向代理下使用可信外部 Origin，不能根据任意 Host/Header 构造安全回调。
-
-## 账号与角色
-
-默认 `BoundOnly`。JIT 需要：
-
-- 稳定 Subject 与账号唯一性。
-- 非管理员默认角色。
-- 外部角色到 RoleId 的显式 allowlist。
-- 离职、禁用、角色收回与冲突处理。
-- 创建、匹配、拒绝和变更审计。
-
-这些规则由 Managed `sso_resolve_federated_identity` 编排。JIT 创建最终调用精确受限的 `V8.Method.CreateFederatedUser` 原子，并用平台专用带盐密码哈希写入不可登录的随机初始密码；不得回退到 DES，也不得把外部角色名直接写成平台 RoleId。
-
-不能把外部 `admin` 字符串、邮箱域或昵称直接解释为平台管理员。
-
-## LegacyToken 迁移
-
-1. 盘点旧 `ClientSsoApi/ServerSsoApi/TokenName` 和使用系统。
-2. 为每个系统选择 OIDC、SAML2 或 CAS 并建立新连接。
-3. 并行验证登录/退出和账号映射；新入口默认标准协议。
-4. URL 中的旧 Token 读取后立即清理，不写 Referer、日志或分析平台。
-5. 迁移完成后停用旧行；不要继续给新系统复制 LegacyToken。
-
-旧兼容只允许调用同源 `/api/`，绝不把 DiyToken POST 到管理员配置的任意绝对 URL。浏览器只处理 `LegacyCapabilities` 已返回连接中明确登记的 `TokenName`；不得恢复“只要 URL 出现 `?token=` 就自动登录”的无配置旁路。
+# 配置、Secret、安全与迁移
+
+## diy_sso 分组
+
+- `basic`：Key、名称、方向、协议、启用、排序。
+- `oidc`：Issuer/Discovery/端点、Client、Scope、精确 Redirect URI。
+- `saml`：Entity ID、Metadata、SSO/SLO、ACS。
+- `cas`：Server URL、版本。
+- `mapping`：Subject/Account/Name/Email/Role Claim、JSON 映射、JIT。
+- `security`：Secret/证书设置 Key、签名/加密、PKCE/nonce、生命周期、私网开关。
+- `legacy`：旧 Server/Client API、TokenName、GetTokenType。
+
+`diy_sso` 是管理员专用平台表。匿名能力接口只投影 ConnectionKey、名称、协议、图标、说明和发起地址；旧兼容投影只允许同源 `/api/` 路径与安全 Token 参数名。
+
+匿名投影由 `sso_capabilities` / `sso_legacy_capabilities` 接口引擎提供；任何 Controller 都不得直接查询并返回 `diy_sso`。公开协议地址由 `sso_http_*` Managed 接口引擎拥有，可信原子再通过 StopHttp 的 `sso_connection_runtime` 取得最小运行投影。客户端能力类接口统一调用 `/apiengine/{ApiEngineKey}?OsClient=`；标准伙伴协议使用应用声明的 `ApiAddress`，其中 `{OsClient}`、`{ConnectionKey}` 由动态路由安全提取并覆盖同名外部参数。
+
+## Secret 与证书
+
+- `ClientSecretSettingKey` 等字段只存 `mci_system_setting` Key。
+- 第三方 Client Secret 和私钥证书使用后端 Secret 存储，不出现在日志、导出、包、浏览器或 MCP 回读。
+- 吾码对外 OIDC Client Secret 只存专用密码哈希；不能用 AES/DES 代替验证哈希。
+- SAML 验签/加密公开证书与签名/解密私钥严格区分用途。
+- 证书/签名 Key 轮换要有新旧重叠、伙伴确认、撤销和回滚窗口。
+
+## 网络和 URL
+
+所有外部 Discovery、JWKS、Metadata、Token、UserInfo 地址先过 HTTPS/SSRF 检查。默认拒绝回环、私网、链路本地、带用户信息 URL 和 DNS 重绑定；内网 IdP 只能由管理员显式开启并用网络出口白名单补强。
+
+Redirect/Logout/ACS/CAS service 使用规范化后的绝对 URL 精确比较。不要允许通配符、子域后缀、前缀或 fragment。反向代理下使用可信外部 Origin，不能根据任意 Host/Header 构造安全回调。
+
+## 账号与角色
+
+默认 `BoundOnly`。JIT 需要：
+
+- 稳定 Subject 与账号唯一性。
+- 非管理员默认角色。
+- 外部角色到 RoleId 的显式 allowlist。
+- 离职、禁用、角色收回与冲突处理。
+- 创建、匹配、拒绝和变更审计。
+
+这些规则由 Managed `sso_resolve_federated_identity` 编排。JIT 创建最终调用精确受限的 `V8.Method.CreateFederatedUser` 原子，并用平台专用带盐密码哈希写入不可登录的随机初始密码；不得回退到 DES，也不得把外部角色名直接写成平台 RoleId。
+
+不能把外部 `admin` 字符串、邮箱域或昵称直接解释为平台管理员。
+
+## LegacyToken 迁移
+
+1. 盘点旧 `ClientSsoApi/ServerSsoApi/TokenName` 和使用系统。
+2. 为每个系统选择 OIDC、SAML2 或 CAS 并建立新连接。
+3. 并行验证登录/退出和账号映射；新入口默认标准协议。
+4. URL 中的旧 Token 读取后立即清理，不写 Referer、日志或分析平台。
+5. 迁移完成后停用旧行；不要继续给新系统复制 LegacyToken。
+
+旧兼容只允许调用同源 `/api/`，绝不把 DiyToken POST 到管理员配置的任意绝对 URL。浏览器只处理 `LegacyCapabilities` 已返回连接中明确登记的 `TokenName`；不得恢复“只要 URL 出现 `?token=` 就自动登录”的无配置旁路。

package/skills/microi-sso/references/inbound.md

@@ -1,53 +1,53 @@
-# 外部身份源登录吾码
-
-## 目标流程
-
-外部身份源只证明主体身份。回调完成后按当前租户查找绑定/受控 JIT 用户，重新确认 `sys_user` 仍启用，再签发 DiyToken。菜单、表、字段、角色、部门与数据范围不从外部 Token 直接继承。
-
-## OIDC RP
-
-必须覆盖：
-
-- Authorization Code；公共客户端使用 PKCE S256。
-- 随机 state、nonce、短时效、一次性消费和原始 Origin 绑定。
-- Discovery 与 JWKS 的 HTTPS、SSRF、issuer 一致性和缓存更新。
-- id_token 签名、算法、issuer、audience、有效期、nonce；必要时再请求 UserInfo。
-- code 不能写日志、URL 清理、回调错误不泄露 Token/Secret。
-- `client_secret_basic`、`client_secret_post` 或 `none` 与伙伴注册一致。
-
-禁止 Implicit、Password Grant、宽松回调前缀、关闭签名或仅解码 JWT 不验签。
-
-## SAML SP
-
-必须覆盖：
-
-- SP Metadata、AuthnRequest、RelayState、ACS 与可选 SLO。
-- 浏览器回调使用 `/api/Sso/SamlCallback`，Assertion Consumer Service 使用 `/api/Sso/SamlAcs`。
-- Response/Assertion 签名、Destination、Issuer、Audience、时间窗口、InResponseTo。
-- Request ID 与 Assertion/Response 重放保护。
-- 加密断言时使用本租户解密私钥；验签只用伙伴公开证书。
-- NameID/Claim 到稳定 Subject 的明确规则。
-
-不能因为伙伴证书配置困难而在生产关闭签名校验。
-
-## CAS Client
-
-- service 必须是精确、受控的吾码回调 URL。
-- CAS 1.0 `/validate`、2.0 `/serviceValidate`、3.0 `/p3/serviceValidate` 按配置解析。
-- Service Ticket 单次使用、短时效、绑定 service；失败响应不能当作用户属性。
-- CAS 根地址生产使用 HTTPS，并经过 SSRF 检查。
-
-## 用户解析顺序
-
-1. 规范化 `OsClient`、连接方向和协议。
-2. 提取稳定 Subject；拒绝空值、控制字符和不稳定昵称。
-3. 先查 `mci_user_external_identity` 的精确绑定。
-4. `BoundOnly` 未绑定即拒绝；`JitMatch/JitCreate` 仅按已审核映射运行。
-5. 重新读取 `sys_user`，确认未删除、未停用。
-6. 签发 DiyToken，写不含凭据的 SSO 审计。
-
-步骤 2–5 固定由 `sso_resolve_federated_identity` 执行；`sso_http_oidc_callback`、`sso_http_saml_acs`、`sso_http_cas_callback` 只通过 `RunSsoProtocol` 取得已经验签、归一化且不含原始 Token/断言的 Claim。步骤 6 由 `sso_complete_login` 编排并调用一次性票据/DiyToken 原子。禁止为 OIDC、SAML、CAS 恢复 Controller 或各复制一套用户查询、JIT 和角色映射。
-
-## 浏览器回调
-
-弹窗消息必须同时校验 `event.source`、精确 `event.origin`、消息类型和 ConnectionKey。回调只传 90 秒左右的一次性票据；登录页再用该票据换 DiyToken。不要通过 `postMessage('*')`、URL fragment 或 Query 传 DiyToken。
+# 外部身份源登录吾码
+
+## 目标流程
+
+外部身份源只证明主体身份。回调完成后按当前租户查找绑定/受控 JIT 用户，重新确认 `sys_user` 仍启用，再签发 DiyToken。菜单、表、字段、角色、部门与数据范围不从外部 Token 直接继承。
+
+## OIDC RP
+
+必须覆盖：
+
+- Authorization Code；公共客户端使用 PKCE S256。
+- 随机 state、nonce、短时效、一次性消费和原始 Origin 绑定。
+- Discovery 与 JWKS 的 HTTPS、SSRF、issuer 一致性和缓存更新。
+- id_token 签名、算法、issuer、audience、有效期、nonce；必要时再请求 UserInfo。
+- code 不能写日志、URL 清理、回调错误不泄露 Token/Secret。
+- `client_secret_basic`、`client_secret_post` 或 `none` 与伙伴注册一致。
+
+禁止 Implicit、Password Grant、宽松回调前缀、关闭签名或仅解码 JWT 不验签。
+
+## SAML SP
+
+必须覆盖：
+
+- SP Metadata、AuthnRequest、RelayState、ACS 与可选 SLO。
+- 浏览器回调使用 `/api/Sso/SamlCallback`，Assertion Consumer Service 使用 `/api/Sso/SamlAcs`。
+- Response/Assertion 签名、Destination、Issuer、Audience、时间窗口、InResponseTo。
+- Request ID 与 Assertion/Response 重放保护。
+- 加密断言时使用本租户解密私钥；验签只用伙伴公开证书。
+- NameID/Claim 到稳定 Subject 的明确规则。
+
+不能因为伙伴证书配置困难而在生产关闭签名校验。
+
+## CAS Client
+
+- service 必须是精确、受控的吾码回调 URL。
+- CAS 1.0 `/validate`、2.0 `/serviceValidate`、3.0 `/p3/serviceValidate` 按配置解析。
+- Service Ticket 单次使用、短时效、绑定 service；失败响应不能当作用户属性。
+- CAS 根地址生产使用 HTTPS，并经过 SSRF 检查。
+
+## 用户解析顺序
+
+1. 规范化 `OsClient`、连接方向和协议。
+2. 提取稳定 Subject；拒绝空值、控制字符和不稳定昵称。
+3. 先查 `mci_user_external_identity` 的精确绑定。
+4. `BoundOnly` 未绑定即拒绝；`JitMatch/JitCreate` 仅按已审核映射运行。
+5. 重新读取 `sys_user`，确认未删除、未停用。
+6. 签发 DiyToken，写不含凭据的 SSO 审计。
+
+步骤 2–5 固定由 `sso_resolve_federated_identity` 执行；`sso_http_oidc_callback`、`sso_http_saml_acs`、`sso_http_cas_callback` 只通过 `RunSsoProtocol` 取得已经验签、归一化且不含原始 Token/断言的 Claim。步骤 6 由 `sso_complete_login` 编排并调用一次性票据/DiyToken 原子。禁止为 OIDC、SAML、CAS 恢复 Controller 或各复制一套用户查询、JIT 和角色映射。
+
+## 浏览器回调
+
+弹窗消息必须同时校验 `event.source`、精确 `event.origin`、消息类型和 ConnectionKey。回调只传 90 秒左右的一次性票据；登录页再用该票据换 DiyToken。不要通过 `postMessage('*')`、URL fragment 或 Query 传 DiyToken。

package/skills/microi-sso/references/outbound.md

@@ -1,39 +1,39 @@
-# 吾码向第三方提供登录
-
-## 共同边界
-
-先验证当前交互式 DiyToken，再生成第三方协议票据。访问密钥会话不能替代用户交互授权。外部 Client/SP/service 只能读取按 Scope/映射允许的最小资料，不能获得 DiyToken、菜单权限对象或内部角色策略。
-
-## OIDC Provider
-
-应提供：
-
-- Discovery、JWKS、Authorize、Token、UserInfo。
-- 机密客户端认证与公共客户端 PKCE S256。
-- 一次性授权码，绑定 ClientId、Redirect URI、Scope、PKCE、用户、租户和过期时间。
-- 签名 id_token，校验 nonce；按客户端派生 pairwise subject。
-- 高熵不透明 Access/Refresh Token；仅保存哈希索引。
-- Refresh Token rotation/reuse detection，family 撤销。
-- Introspection、Revocation、RP-Initiated Logout 与精确 post-logout redirect。
-
-Client Secret 轮换动作只显示一次明文，持久化 PBKDF2-SHA256 哈希。签名 Key 必须有 `kid`，轮换时保留验证重叠窗口。
-
-对外 Claim 固定由 `sso_outbound_claims` 从启用用户与连接白名单生成；24 个 `sso_http_*` Managed 端点通过 `RunSsoProtocol` 把同一投影编码成 OIDC/SAML/CAS 响应。Client Secret 轮换由 `sso_rotate_client_secret` 编排，并调用精确受限的可信原子生成一次性明文与持久哈希，不能恢复为 Controller 定制动作。
-
-## SAML IdP
-
-应提供 IdP Metadata、SSO、签名 Response/Assertion、可选加密和 SLO。必须校验 SP Entity ID、ACS、Destination、AuthnRequest 签名/重放；Attribute 只来自白名单映射。每个伙伴独立证书/配置，不把私钥放进应用包或前端。
-
-## CAS Server
-
-应提供 `/login`、CAS 1.0 `/validate`、CAS 2.0 `/serviceValidate`、CAS 3.0 `/p3/serviceValidate` 和 `/logout`。Service Ticket 必须：
-
-- 随机、短时、单次使用。
-- 绑定当前租户、连接、用户和精确 service。
-- 校验成功才返回用户属性；CAS 1.0 使用协议规定的 yes/no 文本。
-
-当前不实现 CAS Proxy Ticket；需要代理链时先评估改用 OIDC。
-
-## 授权页面
-
-第三方发起 Authorize/SAML/CAS 登录后，若没有有效 Provider Session，先跳到吾码登录页；登录成功回到一次性 handoff。页面必须说明目标系统、请求 Scope 和退出影响。即使后续加入 Consent，仍不能把第三方请求的任意 Scope 自动映射为吾码管理员能力。
+# 吾码向第三方提供登录
+
+## 共同边界
+
+先验证当前交互式 DiyToken，再生成第三方协议票据。访问密钥会话不能替代用户交互授权。外部 Client/SP/service 只能读取按 Scope/映射允许的最小资料，不能获得 DiyToken、菜单权限对象或内部角色策略。
+
+## OIDC Provider
+
+应提供：
+
+- Discovery、JWKS、Authorize、Token、UserInfo。
+- 机密客户端认证与公共客户端 PKCE S256。
+- 一次性授权码，绑定 ClientId、Redirect URI、Scope、PKCE、用户、租户和过期时间。
+- 签名 id_token，校验 nonce；按客户端派生 pairwise subject。
+- 高熵不透明 Access/Refresh Token；仅保存哈希索引。
+- Refresh Token rotation/reuse detection，family 撤销。
+- Introspection、Revocation、RP-Initiated Logout 与精确 post-logout redirect。
+
+Client Secret 轮换动作只显示一次明文，持久化 PBKDF2-SHA256 哈希。签名 Key 必须有 `kid`，轮换时保留验证重叠窗口。
+
+对外 Claim 固定由 `sso_outbound_claims` 从启用用户与连接白名单生成；24 个 `sso_http_*` Managed 端点通过 `RunSsoProtocol` 把同一投影编码成 OIDC/SAML/CAS 响应。Client Secret 轮换由 `sso_rotate_client_secret` 编排，并调用精确受限的可信原子生成一次性明文与持久哈希，不能恢复为 Controller 定制动作。
+
+## SAML IdP
+
+应提供 IdP Metadata、SSO、签名 Response/Assertion、可选加密和 SLO。必须校验 SP Entity ID、ACS、Destination、AuthnRequest 签名/重放；Attribute 只来自白名单映射。每个伙伴独立证书/配置，不把私钥放进应用包或前端。
+
+## CAS Server
+
+应提供 `/login`、CAS 1.0 `/validate`、CAS 2.0 `/serviceValidate`、CAS 3.0 `/p3/serviceValidate` 和 `/logout`。Service Ticket 必须：
+
+- 随机、短时、单次使用。
+- 绑定当前租户、连接、用户和精确 service。
+- 校验成功才返回用户属性；CAS 1.0 使用协议规定的 yes/no 文本。
+
+当前不实现 CAS Proxy Ticket；需要代理链时先评估改用 OIDC。
+
+## 授权页面
+
+第三方发起 Authorize/SAML/CAS 登录后，若没有有效 Provider Session，先跳到吾码登录页；登录成功回到一次性 handoff。页面必须说明目标系统、请求 Scope 和退出影响。即使后续加入 Consent，仍不能把第三方请求的任意 Scope 自动映射为吾码管理员能力。