优化

跨区域认证与服务通信契约.md

@@ -28,6 +28,13 @@
 - MQ 使用独立的服务身份、TLS 和 ACL；服务间事件鉴权与用户 JWT 鉴权分开。只有明确的同步 HTTP 内部接口才使用内部服务令牌。
 - 修改事件时联查 `common-event-contract/`、`event-bridge-service/`、生产服务、消费服务、幂等记录、重试/死信和契约测试。
 
+### IAM 安全事件海外投影冻结
+
+- `IamUserStatusChanged`、`IamTenantStatusChanged`、`IamPermissionVersionChanged` V1 固定由海外 `overseas-security-service` 消费；不得投递到 Lastleg 的 LoadingCompletedConsumer。
+- Event Bridge 只按冻结的 eventType→consumer URL 选择下游，不解析状态、权限版本或 payload 业务字段。海外业务事件仍投 Lastleg，国内回流事件仍投 Firstleg。
+- 安全服务以 MySQL `overseas_security_event_inbox` 和 `overseas_security_projection` 为可靠来源：eventId 相同 hash 相同幂等，异 hash 冲突；聚合版本只单调推进，旧版本标记 STALE，同版本异 hash 冲突。Redis 仅为提交后写入的可重建镜像，授权校验不依赖 Redis 默认放行。
+- 海外 Gateway 对全部 `/api/**` 在本地 JWT 验签后，仅传递 `userId/tenantId/tokenVersion/permissionVersion` 到安全服务。用户停用返回 A0401；客户停用或 Token 权限版本落后返回 A0403；安全服务、SQL 或调用链不可用均 fail-closed。PDA 在此基础上继续执行 Auth 仓绑定实时核验。
+
 ## 修改与验收
 
 - Token、Audience、Claim、JWKS、API Base 或刷新策略变化时，至少联查 Auth、IAM、Admin/Client 统一认证层、国内/海外 Gateway、`common-security/` 和目标海外服务。