@stackonward/cli 0.0.1 → 1.0.1

package/dist/resources/templates/go-backend/internal/integrations/onex/iam/enum.go

@@ -0,0 +1,643 @@
+package domain
+
+// ═══════════════════════════════════════════════════════════════
+// IAM 授权内核 — 枚举词汇表（全包共享契约）
+// ═══════════════════════════════════════════════════════════════
+//
+// 设计对标 阿里云 RAM / AWS IAM / Amazon Verified Permissions (Cedar)。
+// 所有面向前端的枚举（label/color）由 internal/common/enums/register_iam.go
+// 统一注册，前端经 useEnum 消费；本文件只定义字面值与校验，不重复 label。
+
+// PrincipalType 授权主体类型。
+//
+// 人、服务账号、被扮演角色、AI Agent 与 root 账号统一进入同一主体模型，
+// 任何主体只能通过 group / role / 直接 policy 绑定获得权限。
+type PrincipalType string
+
+const (
+	// PrincipalTypeRootAccount 平台根账号（break-glass，高风险审计）
+	PrincipalTypeRootAccount PrincipalType = "root_account"
+	// PrincipalTypeHumanUser 人类操作员。
+	PrincipalTypeHumanUser PrincipalType = "human_user"
+	// PrincipalTypeServiceAccount 自动化 / 外部系统调用主体
+	PrincipalTypeServiceAccount PrincipalType = "service_account"
+	// PrincipalTypeAssumedRole 限时扮演角色（携带 delegated_by）
+	PrincipalTypeAssumedRole PrincipalType = "assumed_role"
+	// PrincipalTypeAIAgent AI Agent 主体
+	PrincipalTypeAIAgent PrincipalType = "ai_agent"
+)
+
+// IsValid 校验主体类型是否合法。
+func (t PrincipalType) IsValid() bool {
+	switch t {
+	case PrincipalTypeRootAccount, PrincipalTypeHumanUser, PrincipalTypeServiceAccount,
+		PrincipalTypeAssumedRole, PrincipalTypeAIAgent:
+		return true
+	default:
+		return false
+	}
+}
+
+// PrincipalStatus 账号管理主体状态投影。
+type PrincipalStatus string
+
+const (
+	// PrincipalStatusActive 主体与身份均可用。
+	PrincipalStatusActive PrincipalStatus = "active"
+	// PrincipalStatusAuthorizationDisabled IAM 主体授权已停用。
+	PrincipalStatusAuthorizationDisabled PrincipalStatus = "authorization_disabled"
+	// PrincipalStatusSuspended 关联身份已封禁。
+	PrincipalStatusSuspended PrincipalStatus = "suspended"
+	// PrincipalStatusLocked 关联身份已锁定。
+	PrincipalStatusLocked PrincipalStatus = "locked"
+	// PrincipalStatusPendingDeletion 关联身份待删除。
+	PrincipalStatusPendingDeletion PrincipalStatus = "pending_deletion"
+	// PrincipalStatusDeleted 关联身份已删除。
+	PrincipalStatusDeleted PrincipalStatus = "deleted"
+	// PrincipalStatusPendingSetup 账号已创建但初始化配置未完成。
+	PrincipalStatusPendingSetup PrincipalStatus = "pending_setup"
+)
+
+// MFAStatus 账号管理 MFA 状态投影。
+type MFAStatus string
+
+const (
+	// MFAStatusEnabled 已启用 MFA。
+	MFAStatusEnabled MFAStatus = "enabled"
+	// MFAStatusMissing 未启用 MFA。
+	MFAStatusMissing MFAStatus = "missing"
+	// MFAStatusRequired 已要求绑定 MFA。
+	MFAStatusRequired MFAStatus = "required"
+	// MFAStatusResetRequired 需要重置 MFA。
+	MFAStatusResetRequired MFAStatus = "reset_required"
+	// MFAStatusNotApplicable 无关联登录身份。
+	MFAStatusNotApplicable MFAStatus = "not_applicable"
+)
+
+// PrincipalRiskLabel 账号管理风险标签投影。
+type PrincipalRiskLabel string
+
+const (
+	// PrincipalRiskNoMFA 人类账号未启用 MFA。
+	PrincipalRiskNoMFA PrincipalRiskLabel = "no_mfa"
+	// PrincipalRiskRootAccount 根账号或高危主体。
+	PrincipalRiskRootAccount PrincipalRiskLabel = "root_account"
+	// PrincipalRiskDisabled 主体或身份不可用。
+	PrincipalRiskDisabled PrincipalRiskLabel = "disabled"
+	// PrincipalRiskLocked 身份处于锁定状态。
+	PrincipalRiskLocked PrincipalRiskLabel = "locked"
+	// PrincipalRiskGlobalScope 存在全局授权范围。
+	PrincipalRiskGlobalScope PrincipalRiskLabel = "global_scope"
+	// PrincipalRiskDirectPolicy 存在直接策略绑定。
+	PrincipalRiskDirectPolicy PrincipalRiskLabel = "direct_policy"
+	// PrincipalRiskActiveSession 存在活跃会话。
+	PrincipalRiskActiveSession PrincipalRiskLabel = "active_session"
+	// PrincipalRiskStaleLogin 长时间无登录记录。
+	PrincipalRiskStaleLogin PrincipalRiskLabel = "stale_login"
+)
+
+// CredentialStatus 服务账号凭证状态。
+//
+// 凭证状态机：签发即 active；inactive 为可恢复停用态；revoked 为终态。
+// 过期由 expires_at 在认证链路运行时判定，不入此状态机。
+type CredentialStatus string
+
+const (
+	// CredentialStatusActive 活跃（可用于认证）
+	CredentialStatusActive CredentialStatus = "active"
+	// CredentialStatusInactive 已停用（可恢复，认证链路拒绝）
+	CredentialStatusInactive CredentialStatus = "inactive"
+	// CredentialStatusRevoked 已吊销（终态，不可复活）
+	CredentialStatusRevoked CredentialStatus = "revoked"
+)
+
+// IsValid 校验凭证状态是否合法。
+func (s CredentialStatus) IsValid() bool {
+	switch s {
+	case CredentialStatusActive, CredentialStatusInactive, CredentialStatusRevoked:
+		return true
+	default:
+		return false
+	}
+}
+
+// PolicyType 策略类型。
+//
+// boundary / session 只能收紧有效权限（取交）；break_glass 为应急高风险策略。
+type PolicyType string
+
+const (
+	// PolicyTypeSystem 系统策略（迁移 / 后台注册生成，只读）
+	PolicyTypeSystem PolicyType = "system"
+	// PolicyTypeCustom 自定义策略（管理员维护）
+	PolicyTypeCustom PolicyType = "custom"
+	// PolicyTypeBoundary 权限边界策略（取交收紧）
+	PolicyTypeBoundary PolicyType = "boundary"
+	// PolicyTypeSession 会话策略（扮演 / 提权时取交收紧）
+	PolicyTypeSession PolicyType = "session"
+	// PolicyTypeBreakGlass 应急策略（高风险，强制审计）
+	PolicyTypeBreakGlass PolicyType = "break_glass"
+)
+
+// IsValid 校验策略类型是否合法。
+func (t PolicyType) IsValid() bool {
+	switch t {
+	case PolicyTypeSystem, PolicyTypeCustom, PolicyTypeBoundary, PolicyTypeSession, PolicyTypeBreakGlass:
+		return true
+	default:
+		return false
+	}
+}
+
+// IsSystemManaged 系统策略只读，普通管理员不可编辑。
+func (t PolicyType) IsSystemManaged() bool {
+	return t == PolicyTypeSystem
+}
+
+// Effect 策略语句效果。Deny 始终优先于 Allow。
+type Effect string
+
+const (
+	// EffectAllow 允许
+	EffectAllow Effect = "Allow"
+	// EffectDeny 拒绝（全局优先）
+	EffectDeny Effect = "Deny"
+)
+
+// IsValid 校验效果是否合法。
+func (e Effect) IsValid() bool {
+	return e == EffectAllow || e == EffectDeny
+}
+
+// PolicyStatus 策略版本状态机。
+type PolicyStatus string
+
+const (
+	// PolicyStatusDraft 草稿
+	PolicyStatusDraft PolicyStatus = "draft"
+	// PolicyStatusPendingApproval 待审批（高风险策略发布前）
+	PolicyStatusPendingApproval PolicyStatus = "pending_approval"
+	// PolicyStatusActive 已生效
+	PolicyStatusActive PolicyStatus = "active"
+	// PolicyStatusArchived 已归档（被新版本取代，终态）
+	PolicyStatusArchived PolicyStatus = "archived"
+	// PolicyStatusDiscarded 已废弃（终态）
+	PolicyStatusDiscarded PolicyStatus = "discarded"
+)
+
+// policyTransitions 策略状态机允许的流转。终态显式置空 slice，防 CanTransitionTo 漏判。
+var policyTransitions = map[PolicyStatus][]PolicyStatus{
+	PolicyStatusDraft:           {PolicyStatusPendingApproval, PolicyStatusDiscarded},
+	PolicyStatusPendingApproval: {PolicyStatusActive, PolicyStatusDraft, PolicyStatusDiscarded},
+	PolicyStatusActive:          {PolicyStatusArchived},
+	PolicyStatusArchived:        {},
+	PolicyStatusDiscarded:       {},
+}
+
+// IsValid 校验状态是否合法。
+func (s PolicyStatus) IsValid() bool {
+	_, ok := policyTransitions[s]
+	return ok
+}
+
+// IsTerminal 是否终态。
+func (s PolicyStatus) IsTerminal() bool {
+	next, ok := policyTransitions[s]
+	return ok && len(next) == 0
+}
+
+// CanTransitionTo 判断能否从当前状态流转到目标状态。
+func (s PolicyStatus) CanTransitionTo(target PolicyStatus) bool {
+	for _, allowed := range policyTransitions[s] {
+		if allowed == target {
+			return true
+		}
+	}
+	return false
+}
+
+// GroupSourceType 用户组来源类型。
+//
+// local 由控制台维护；system 由迁移或系统注册生成；sso 由外部身份源同步。非 local 组不允许在控制台
+// 直接修改基础资料、成员或策略绑定。
+type GroupSourceType string
+
+const (
+	// GroupSourceTypeLocal 控制台本地维护。
+	GroupSourceTypeLocal GroupSourceType = "local"
+	// GroupSourceTypeSystem 系统内置。
+	GroupSourceTypeSystem GroupSourceType = "system"
+	// GroupSourceTypeSSO 外部身份源同步。
+	GroupSourceTypeSSO GroupSourceType = "sso"
+)
+
+// IsValid 校验用户组来源类型是否合法。
+func (t GroupSourceType) IsValid() bool {
+	switch t {
+	case GroupSourceTypeLocal, GroupSourceTypeSystem, GroupSourceTypeSSO:
+		return true
+	default:
+		return false
+	}
+}
+
+// IsEditableInConsole 判断该来源是否允许控制台直接编辑。
+func (t GroupSourceType) IsEditableInConsole() bool {
+	return t == GroupSourceTypeLocal
+}
+
+// GroupSyncStatus 用户组外部同步状态。
+type GroupSyncStatus string
+
+const (
+	// GroupSyncStatusNotApplicable 本地或系统组不适用外部同步。
+	GroupSyncStatusNotApplicable GroupSyncStatus = "not_applicable"
+	// GroupSyncStatusSynced 外部身份源已同步。
+	GroupSyncStatusSynced GroupSyncStatus = "synced"
+	// GroupSyncStatusSyncing 正在同步。
+	GroupSyncStatusSyncing GroupSyncStatus = "syncing"
+	// GroupSyncStatusError 最近一次同步失败。
+	GroupSyncStatusError GroupSyncStatus = "error"
+)
+
+// IsValid 校验用户组同步状态是否合法。
+func (s GroupSyncStatus) IsValid() bool {
+	switch s {
+	case GroupSyncStatusNotApplicable, GroupSyncStatusSynced, GroupSyncStatusSyncing, GroupSyncStatusError:
+		return true
+	default:
+		return false
+	}
+}
+
+// Sensitivity 字段 / 资源敏感度等级（由低到高）。
+type Sensitivity string
+
+const (
+	// SensitivityPublic 公开
+	SensitivityPublic Sensitivity = "public"
+	// SensitivityInternal 内部
+	SensitivityInternal Sensitivity = "internal"
+	// SensitivityRestricted 受限
+	SensitivityRestricted Sensitivity = "restricted"
+	// SensitivitySensitive 敏感（PII / 财务）
+	SensitivitySensitive Sensitivity = "sensitive"
+	// SensitivitySecret 机密（凭证，写后不回显）
+	SensitivitySecret Sensitivity = "secret"
+)
+
+// sensitivityRank 敏感度排序值，用于 max_sensitivity 条件比较。
+var sensitivityRank = map[Sensitivity]int{
+	SensitivityPublic:     0,
+	SensitivityInternal:   1,
+	SensitivityRestricted: 2,
+	SensitivitySensitive:  3,
+	SensitivitySecret:     4,
+}
+
+// IsValid 校验敏感度是否合法。
+func (s Sensitivity) IsValid() bool {
+	_, ok := sensitivityRank[s]
+	return ok
+}
+
+// Rank 返回敏感度排序值，未知值返回最高级（最严格 fail-safe）。
+func (s Sensitivity) Rank() int {
+	if rank, ok := sensitivityRank[s]; ok {
+		return rank
+	}
+	return sensitivityRank[SensitivitySecret]
+}
+
+// AtMost 判断当前敏感度是否不超过上限（用于 max_sensitivity 条件）。
+func (s Sensitivity) AtMost(ceiling Sensitivity) bool {
+	return s.Rank() <= ceiling.Rank()
+}
+
+// MaskingStrategy 字段脱敏策略。
+type MaskingStrategy string
+
+const (
+	// MaskingFull 完全遮蔽
+	MaskingFull MaskingStrategy = "full"
+	// MaskingPartial 部分遮蔽（如手机号中间四位）
+	MaskingPartial MaskingStrategy = "partial"
+	// MaskingHash 哈希
+	MaskingHash MaskingStrategy = "hash"
+	// MaskingNone 不脱敏
+	MaskingNone MaskingStrategy = "none"
+)
+
+// IsValid 校验脱敏策略是否合法。
+func (m MaskingStrategy) IsValid() bool {
+	switch m {
+	case MaskingFull, MaskingPartial, MaskingHash, MaskingNone:
+		return true
+	default:
+		return false
+	}
+}
+
+// RiskLevel 动作 / 页面动作风险等级。
+type RiskLevel string
+
+const (
+	// RiskLevelLow 低风险
+	RiskLevelLow RiskLevel = "low"
+	// RiskLevelMedium 中风险
+	RiskLevelMedium RiskLevel = "medium"
+	// RiskLevelHigh 高风险（求值绕过内存缓存实时校验 + 写决策日志）
+	RiskLevelHigh RiskLevel = "high"
+	// RiskLevelCritical 极高风险（强制审批 + MFA）
+	RiskLevelCritical RiskLevel = "critical"
+)
+
+// IsValid 校验风险等级是否合法。
+func (l RiskLevel) IsValid() bool {
+	switch l {
+	case RiskLevelLow, RiskLevelMedium, RiskLevelHigh, RiskLevelCritical:
+		return true
+	default:
+		return false
+	}
+}
+
+// RequiresDecisionLog 高风险及以上动作必须写访问决策日志。
+func (l RiskLevel) RequiresDecisionLog() bool {
+	return l == RiskLevelHigh || l == RiskLevelCritical
+}
+
+// AuditLevel 页面动作审计等级。
+type AuditLevel string
+
+const (
+	// AuditLevelNone 不审计
+	AuditLevelNone AuditLevel = "none"
+	// AuditLevelDecision 仅记决策日志
+	AuditLevelDecision AuditLevel = "decision"
+	// AuditLevelOperation 仅记操作日志
+	AuditLevelOperation AuditLevel = "operation"
+	// AuditLevelDecisionAndOperation 决策 + 操作双记
+	AuditLevelDecisionAndOperation AuditLevel = "decision_and_operation"
+)
+
+// IsValid 校验审计等级是否合法。
+func (l AuditLevel) IsValid() bool {
+	switch l {
+	case AuditLevelNone, AuditLevelDecision, AuditLevelOperation, AuditLevelDecisionAndOperation:
+		return true
+	default:
+		return false
+	}
+}
+
+// Placement 页面动作摆放位置。
+type Placement string
+
+const (
+	// PlacementToolbar 工具栏
+	PlacementToolbar Placement = "toolbar"
+	// PlacementRow 行操作
+	PlacementRow Placement = "row"
+	// PlacementDetail 详情页操作
+	PlacementDetail Placement = "detail"
+	// PlacementDrawerFooter 抽屉底部操作
+	PlacementDrawerFooter Placement = "drawer_footer"
+	// PlacementBatch 批量操作
+	PlacementBatch Placement = "batch"
+	// PlacementPage 页面级操作（页面头部主操作，如导出 / 注册 / 详情页主按钮）
+	PlacementPage Placement = "page"
+	// PlacementInspector 侧栏检视面板操作（工作台 inspector / 详情侧栏内的动作）
+	PlacementInspector Placement = "inspector"
+)
+
+// IsValid 校验摆放位置是否合法。
+func (p Placement) IsValid() bool {
+	switch p {
+	case PlacementToolbar, PlacementRow, PlacementDetail, PlacementDrawerFooter, PlacementBatch, PlacementPage, PlacementInspector:
+		return true
+	default:
+		return false
+	}
+}
+
+// ScopeType 绑定作用域 / 资源归属维度（承载粗粒度边界与继承）。
+type ScopeType string
+
+const (
+	// ScopeTypeGlobal 全局
+	ScopeTypeGlobal ScopeType = "global"
+	// ScopeTypeProduct 产品线。
+	ScopeTypeProduct ScopeType = "product"
+	// ScopeTypeOrganization 跨产品共享组织。
+	ScopeTypeOrganization ScopeType = "organization"
+	// ScopeTypeWorkspace 产品自有工作区。
+	ScopeTypeWorkspace ScopeType = "workspace"
+	// ScopeTypeMerchant 商户（marketplace 卖家，隔离维度 exact-match）
+	ScopeTypeMerchant ScopeType = "merchant"
+	// ScopeTypeTenant 租户（B2B 多租户，隔离维度 exact-match）
+	ScopeTypeTenant ScopeType = "tenant"
+	// ScopeTypeAgent 代理 / 分销主体
+	ScopeTypeAgent ScopeType = "agent"
+	// ScopeTypeFacility 设施（门店 / 厨房 / 仓库 / 配送区，scope_value 源 p_inventory_locations）
+	ScopeTypeFacility ScopeType = "facility"
+)
+
+// IsValid 校验作用域类型是否合法。
+func (t ScopeType) IsValid() bool {
+	switch t {
+	case ScopeTypeGlobal, ScopeTypeProduct, ScopeTypeOrganization, ScopeTypeWorkspace,
+		ScopeTypeMerchant, ScopeTypeTenant, ScopeTypeAgent, ScopeTypeFacility:
+		return true
+	default:
+		return false
+	}
+}
+
+// RoleCodePlatformSuper 平台超级管理员角色编码（绑 sys.platform.super 全通配策略，取代旧 RBAC super_admin）。
+//
+// 管理护栏锚点（迁自旧 RBAC ErrLastSuperAdmin 语义）：解绑该角色绑定时校验不可删除最后一个，
+// 避免平台失去全部超管而锁死所有授权管理（与 AWS「最后一个 root/admin 保护」同向）。
+const RoleCodePlatformSuper = "platform_super"
+
+const (
+	// RoleCodeOrganizationOwner 组织所有者系统角色，仅允许组织权威服务管理绑定。
+	RoleCodeOrganizationOwner = "organization_owner"
+	// PolicyCodeOrganizationOwner 组织所有者系统策略，仅允许系统角色承载。
+	PolicyCodeOrganizationOwner = "sys.organization.owner"
+)
+
+// IsIsolationScope 隔离维度（无约束=拒绝，禁通配，须 exact-match）。
+func (t ScopeType) IsIsolationScope() bool {
+	switch t {
+	case ScopeTypeOrganization, ScopeTypeWorkspace, ScopeTypeMerchant, ScopeTypeTenant, ScopeTypeAgent, ScopeTypeFacility:
+		return true
+	default:
+		return false
+	}
+}
+
+// Verb 规范动作动词。动作格式为 <domain>:<resource>:<verb>。
+type Verb string
+
+const (
+	VerbList        Verb = "list"
+	VerbRead        Verb = "read"
+	VerbCreate      Verb = "create"
+	VerbUpdate      Verb = "update"
+	VerbDelete      Verb = "delete"
+	VerbManage      Verb = "manage"
+	VerbExport      Verb = "export"
+	VerbApprove     Verb = "approve"
+	VerbReject      Verb = "reject"
+	VerbRefund      Verb = "refund"
+	VerbPublish     Verb = "publish"
+	VerbRollback    Verb = "rollback"
+	VerbConfigure   Verb = "configure"
+	VerbImpersonate Verb = "impersonate"
+	VerbRun         Verb = "run"
+	VerbRecover     Verb = "recover"
+	VerbReplay      Verb = "replay"
+	VerbRotate      Verb = "rotate"
+	VerbRevoke      Verb = "revoke"
+	VerbGrant       Verb = "grant"
+	VerbAssign      Verb = "assign"
+	VerbClose       Verb = "close"
+	VerbModerate    Verb = "moderate"
+	VerbBind        Verb = "bind"
+	VerbAdjust      Verb = "adjust"
+	VerbCancel      Verb = "cancel"
+	VerbErase       Verb = "erase"
+	VerbSuspend     Verb = "suspend"
+	VerbVerify      Verb = "verify"
+	VerbReplace     Verb = "replace"
+	VerbRedeem      Verb = "redeem"
+)
+
+// allVerbs 保存 IAM 动作语法允许的完整规范动词集合。
+var allVerbs = []Verb{
+	VerbList, VerbRead, VerbCreate, VerbUpdate, VerbDelete, VerbManage, VerbExport,
+	VerbApprove, VerbReject, VerbRefund, VerbPublish, VerbRollback, VerbConfigure,
+	VerbImpersonate, VerbRun, VerbRecover, VerbReplay, VerbRotate, VerbRevoke,
+	VerbGrant, VerbAssign, VerbClose, VerbModerate, VerbBind, VerbAdjust,
+	VerbCancel, VerbErase, VerbSuspend, VerbVerify, VerbReplace, VerbRedeem,
+}
+
+// AllVerbs 返回全部规范动词副本。
+func AllVerbs() []Verb {
+	out := make([]Verb, len(allVerbs))
+	copy(out, allVerbs)
+	return out
+}
+
+// IsValid 校验动词是否在规范集合内。
+func (v Verb) IsValid() bool {
+	for _, item := range allVerbs {
+		if item == v {
+			return true
+		}
+	}
+	return false
+}
+
+// RoleCategory 角色类别（岗位语义分组）。
+type RoleCategory string
+
+const (
+	// RoleCategoryGlobal 全局后台岗位
+	RoleCategoryGlobal RoleCategory = "global"
+	// RoleCategoryProduct 产品上下文岗位
+	RoleCategoryProduct RoleCategory = "product"
+	// RoleCategoryService 服务账号岗位
+	RoleCategoryService RoleCategory = "service"
+	// RoleCategoryOrganization 组织成员岗位。
+	RoleCategoryOrganization RoleCategory = "organization"
+)
+
+// IsValid 校验角色类别是否合法。
+func (c RoleCategory) IsValid() bool {
+	switch c {
+	case RoleCategoryGlobal, RoleCategoryProduct, RoleCategoryService, RoleCategoryOrganization:
+		return true
+	default:
+		return false
+	}
+}
+
+// ReasonKind 决策原因类别，用于前端区分 HTTP 状态码语义。
+type ReasonKind string
+
+const (
+	// ReasonKindAuthorization 授权类（映射 403）
+	ReasonKindAuthorization ReasonKind = "authorization"
+	// ReasonKindState 业务状态类（映射 409 / 422）
+	ReasonKindState ReasonKind = "state"
+)
+
+// 变更目标类型常量（PolicyChangeLog.TargetType / apierror 资源名，N3：禁止字面量散落）。
+const (
+	// TargetTypePolicy 策略目标类型（控制台策略管理审计与 404 资源名）。
+	TargetTypePolicy = "iam_policy"
+	// TargetTypePrincipal 主体目标类型（控制台主体管理审计与 404 资源名）。
+	TargetTypePrincipal = "iam_principal"
+	// TargetTypeRole 角色目标类型（控制台角色管理审计与 404 资源名）。
+	TargetTypeRole = "iam_role"
+	// TargetTypeRoleBinding 角色绑定目标类型（绑定增删审计与 404 资源名）。
+	TargetTypeRoleBinding = "iam_role_binding"
+	// TargetTypePolicyBinding 策略绑定目标类型（绑定增删审计与 404 资源名）。
+	TargetTypePolicyBinding = "iam_policy_binding"
+	// TargetTypeGroup 用户组目标类型（控制台用户组管理审计与 404 资源名）。
+	TargetTypeGroup = "iam_group"
+	// TargetTypeGroupMember 用户组成员目标类型（成员增删审计与 404 资源名）。
+	TargetTypeGroupMember = "iam_group_member"
+	// TargetTypePageAction 页面动作契约目标类型（控制台页面动作管理审计与 404 资源名）。
+	TargetTypePageAction = "iam_page_action"
+	// TargetTypeFieldRule 字段脱敏规则目标类型（控制台字段规则管理审计与 404 资源名）。
+	TargetTypeFieldRule = "iam_field_rule"
+	// TargetTypeCredential 服务账号凭证目标类型（签发 / 轮换 / 吊销审计与 404 资源名）。
+	TargetTypeCredential = "iam_credential" //nolint:gosec // G101: 审计资源名常量，非凭据
+)
+
+// BindingChangeAction 绑定变更动作（IAMBindingChangedEvent 承载，前端 / 审计据此区分增删）。
+type BindingChangeAction string
+
+const (
+	// BindingChangeActionGranted 绑定建立（授予）
+	BindingChangeActionGranted BindingChangeAction = "granted"
+	// BindingChangeActionRevoked 绑定解除（回收）
+	BindingChangeActionRevoked BindingChangeAction = "revoked"
+)
+
+// BindingKind 绑定类别（IAMBindingChangedEvent 承载，区分角色绑定 / 策略绑定）。
+type BindingKind string
+
+const (
+	// BindingKindRole 角色绑定（principal ↔ role）
+	BindingKindRole BindingKind = "role"
+	// BindingKindPolicy 策略绑定（policy ↔ principal/role/group 三选一）
+	BindingKindPolicy BindingKind = "policy"
+	// BindingKindGroupMember 组成员绑定（principal ↔ group，主体经组继承组上策略绑定）
+	BindingKindGroupMember BindingKind = "group_member"
+)
+
+// 决策原因码（授权求值与页面动作状态前置条件产出）。
+const (
+	// ReasonExplicitDeny 命中显式 Deny
+	ReasonExplicitDeny = "explicit_deny"
+	// ReasonNoMatchingAllow 无任一 Allow 匹配（默认拒绝）
+	ReasonNoMatchingAllow = "no_matching_allow"
+	// ReasonBoundaryExcluded 权限边界排除
+	ReasonBoundaryExcluded = "boundary_excluded"
+	// ReasonSessionExcluded 会话策略排除
+	ReasonSessionExcluded = "session_excluded"
+	// ReasonScopeMismatch 资源归属与工作区上下文冲突
+	ReasonScopeMismatch = "scope_mismatch"
+	// ReasonProductScopeDenied 工作区产品不在主体绑定的产品作用域内（路由级产品准入，取代旧 RBAC RequireProductScope）
+	ReasonProductScopeDenied = "product_scope_denied"
+	// ReasonAllowed 允许
+	ReasonAllowed = "allowed"
+	// ReasonPageActionStateRequirementNotMet 页面动作状态前置条件未满足
+	ReasonPageActionStateRequirementNotMet = "page_action_state_requirement_not_met"
+	// ReasonPageActionStateRequirementInvalid 页面动作状态前置条件契约非法
+	ReasonPageActionStateRequirementInvalid = "page_action_state_requirement_invalid"
+)