[EPIC] authn/authz 子系统 — 会话/凭证/RBAC/账户安全/授权 funnel 能力与硬化

目标 / 范围

authn/authz 子系统的能力建设与安全硬化总追踪——覆盖：

会话生命周期：refresh / authz-epoch / partition / cache 一致性（[CACHING-SESSION-REVOKE-AFTERCOMMIT-DEL-01] Hard-化 + Revoke caller-in-tx guard #1615/[SESSION-CACHE-EPOCH-NOT-CACHED-01] sessionCacheEntry 不缓存 live authz_epoch 的 reflect-freeze #1616/[SESSIONREFRESH-STALE-EPOCH-REJECT-HARDEN-01] SESSIONREFRESH-STALE-EPOCH-REJECT archtest Hard 升级 #649/[SESSION-AUTHORITY-FUNNEL-CONDITIONAL-UPGRADE-01] session-state 独立 funnel 升级 #647/[X13] REFRESH-PARTITION-01 #642）
凭证与改密：credential authority funnel / change-password gate（[CREDENTIAL-AUTHORITY-FUNNEL-SCOPE-AUTO-DERIVE-01] funnel scope 自动派生 #646/CHANGEPASSWORD-INACTIVE-GATE-01: 升级 dominance-lite → 完整 CFG/SSA 控制流支配检查 #1212）
RBAC：device-enqueue 授权 / authz-mutation funnel / role-prefix（[T3] DEVICE-ENQUEUE-RBAC #654/[AUTHZ-MUTATION-FUNNEL-UPSTREAM-HARD-01] funnel 上游 caller-set 由 Medium 升 Hard #645/[PR267-FU-ROLE-PREFIX-ADR] Role prefix ADR #639）
账户锁定：window / escalation / OOB 通知 / 可配置策略（[ACCOUNT-LOCKOUT-POLICY-CONFIGURABLE-01] auto-lockout 常量 → per-tenant Policy struct 升级 #635/[ACCOUNT-LOCKOUT-ESCALATION-01] N 次自动锁后升级永久锁 #651/[ACCOUNT-LOCKOUT-OOB-NOTIFICATION-01] 账户自动锁定带外通知 #652/[ACCOUNT-LOCKOUT-WINDOW-SEMANTICS-01] stale-window vs 绝对滑动窗口语义评估 #653）
SecureCookie / JWT：AEAD 负测 / key rotation / jti / signer（[SECURECOOKIE-AEAD-NEG-01] SecureCookie AEAD 负向测试 #650/[X3] WM-36 SecureCookie key rotation #640/[C-AC7] JWT jti claim 支持 #644/[T5] AUTH-SIGNER-01 #643）
管理面 / 域：last-admin TOCTOU / accesscore domain 拆分 / wire uniform response（[identitymanage] Lock/Update last-admin tx1→tx2 TOCTOU 缺并发回归测试 #1403/[X5] P3-TD-11 accesscore domain 拆分 #641/[WIRE-UNIFORM-RESPONSE-ARCHTEST-01] wire-level single-envelope 升 Hard #648）

边界：聚焦既有认证/授权路径的能力与安全 floor；不含多租户隔离 / ABAC policy-as-code / 行列级数据权限（→ epic #1337）。

验收标准

所有子任务 close
会话撤销/缓存 fail-closed floor 机器守护（reflect-freeze / archtest）
账户锁定策略完整（窗口语义 / 升级 / 带外通知 / 可配置）
授权/凭证 funnel 上游 Hard 化或登记永久天花板
SecureCookie / JWT 安全特性（AEAD / rotation / jti / signer）落地

实施顺序（Wave，滚动 · 21 子任务全 Wave 1）

21 个子任务均无声明 Blocked-by（独立硬化/特性/funnel 任务）→ 全部 Wave 1。无硬依赖层级；下方按能力簇分组给 wave 内实施序（簇内 pri 序，同子系统相邻防写冲突）。Wave 字段单源 = Project #3。

Wave 1（按簇）：
  会话:        #649(p2) #647(p3) #642(p3) #1615(p3) #1616(p3)
  凭证/改密:   #646(p2) #1212(p2)
  RBAC:        #645(p2) #654(p3) #639(p3)
  账户锁定:    #635(p3 配置化地基先) #653(p3) #651(p3) #652(p3)
  Cookie/JWT:  #650(p2) #640(p3) #644(p3) #643(p3)
  管理面/域:   #1403(p2) #648(p2) #641(p3)

🌊 新建 authz/authn 硬化 epic，初始成员 Wave 1：

Wave 1: #1615 (CACHING-SESSION-REVOKE-AFTERCOMMIT Hard-化 + Revoke caller-in-tx guard)
        #1616 (SESSION-CACHE-EPOCH-NOT-CACHED reflect-freeze)

二者均源自 PR #1613（#796）会话缓存安全维度，无 blocked-by 可并行。后续可纳入 RBAC/认证路径其余硬化项。

🌊 整体 wave 调度（21 子任务 · 19 新挂 + #1615/#1616）

21 个子任务均无声明 Blocked-by → 全部 Wave 1（独立硬化/特性/funnel 任务，无硬依赖层级）。wave 内按能力簇排序、同子系统相邻防写冲突：

会话 #649·#647·#642·#1615·#1616 | 凭证 #646·#1212 | RBAC #645·#654·#639
账户锁定 #635(地基先)·#653·#651·#652 | Cookie/JWT #650·#640·#644·#643 | 管理面/域 #1403·#648·#641

19 新成员已入 Project #3 + Wave 1。Wave 字段 = 单源（Project #3），body 实施顺序段为派生视图。账户锁定族建议 #635（policy-configurable 地基）先行，其余簇按 pri 序。

Navigation Menu

Repository navigation

[EPIC] authn/authz 子系统 — 会话/凭证/RBAC/账户安全/授权 funnel 能力与硬化 #1646

目标 / 范围

验收标准

实施顺序（Wave，滚动 · 21 子任务全 Wave 1）

12 remaining items

Metadata

Assignees

Labels

Projects

Milestone

Relationships

Development

[EPIC] authn/authz 子系统 — 会话/凭证/RBAC/账户安全/授权 funnel 能力与硬化 #1646

Description

目标 / 范围

验收标准

实施顺序（Wave，滚动 · 21 子任务全 Wave 1）

Activity

ghbvf commented on Jun 5, 2026

12 remaining items

ghbvf commented on Jun 5, 2026

Metadata

Metadata

Assignees

Labels

Projects

Milestone

Relationships

Development

Issue actions