baiyue-firstleg/auth/AGENTS.md

Auth Service 模块指引

职责与边界

• Mapper 只由 BaiyueAuthApplication.java 对 com.baiyue.auth 根包按 @Mapper 过滤扫描；新增或移动 Mapper 后从后端根运行 node scripts/mapper-scan-contract.mjs，不得增加子域扫描配置。
• 负责登录、注册、账号凭据、Access/Refresh Token、退出、密码和账号归属范围。
• 客户主档、成员、角色权限归 iam/；Auth 通过 IAM 客户端获取授权快照，不跨库写 IAM。
• 修改国内/海外 Token、Audience、JWKS 或跨区域身份边界前，先读 ../../docs/跨区域认证与服务通信契约.md。
• tenant_id=0 为平台作用域，tenant_id>0 为客户 ID；不得引入租户管理或切换。

模块入口

目标	入口
登录/刷新/退出/改密	src/main/java/com/baiyue/auth/controller/AuthController.java
内部账号管理与 scope	controller/InternalAccountController.java、service/AccountManagementService.java
登录标识与企业联系人解耦	service/AccountManagementService.java、dto/AccountManagementDtos.java、service/MerchantRegistrationService.java；注册手机号只在创建时同时初始化首位管理员登录手机号和公司联系电话，创建后二者独立维护；账号手机号变更需撤销该账号全部会话
统一 JWT 签发与 JWKS	config/AuthSecurityConfig.java、config/AuthSecurityProperties.java、service/AuthService.java；Auth 是国内与海外仓共用的唯一用户 Token 签发方，JWKS 公钥发布按认证接口契约实现
国内小 JWT 与会话	service/AuthService.java、service/TokenSessionStore.java；浏览器登录 Token 只承载稳定身份、应用域和版本声明，国内服务结合 Redis 会话校验
海外访问 Token 签发	service/OverseasTokenService.java；登录/刷新编排使用同一用户身份同时签发短时 RS256 海外 Token，限定海外 Audience，只保留平台海外仓/海外业务/海外主数据、客户海外仓 merchant:warehouse:*、海外财务 API 所需的 platform:finance:* 及 lastleg:* 权限前缀；前端统一认证层负责按区域 API 自动选择
海外 PDA 实时会话校验	controller/InternalAccountController.java、service/OverseasSessionValidationService.java；只接受海外 Gateway 已验签后提取的 userId/tokenVersion/overseasWarehouseId，以内部服务令牌保护并实时联查 IAM 当前仓绑定
Token 会话与权限快照	service/TokenSessionStore.java、client/AuthorizationLoader.java、client/IamAuthorizationClient.java；消费端映射见 ../common-security/src/main/java/com/baiyue/common/security/RedisAccessTokenSessionValidator.java、JwtClaimsMapper.java
注册协作	service/MerchantRegistrationService.java
IAM 授权客户端	client/IamAuthorizationClient.java、client/IamOnboardingClient.java
DTO/持久化	dto/AccountManagementDtos.java、entity/、mapper/、repository/
SQL/OpenAPI	src/main/resources/db/、src/main/resources/openapi/
测试/验证	src/test/java/com/baiyue/auth/；mvn -pl auth -am test

修改约束

• 密码、Token、敏感 Claim 不得写日志；统一 JWT 使用 RS256，私钥只留在 Auth，JWKS 只发布公钥。国内登录 Token 的实时权限来自 Redis 会话快照；登录/刷新同时签发短时海外 Token并携带必要权限 Claims，海外服务不访问国内 Redis。修改登录响应、Claim、Audience、JWKS、权限快照或过期策略时联查 Admin/Client 统一认证层、common-security/、gateway/、iam/ 和海外服务消费者。
• 注册跨 Auth/IAM 必须保持幂等和失败补偿；内部接口仅接受服务令牌。
• 登录账号的 username、phone、email 唯一性只约束 Auth 账号；IAM 公司联系电话/联系邮箱是企业资料，不得反向覆盖账号登录标识，也不得因其他企业使用相同联系电话而拒绝。成员登录手机号变更只能由 IAM 账号协作入口同步并撤销该账号全部会话。
• 业务错误保持 HTTP 200 + body code；Security 认证失败保留真实 401/403。

全量验收导航

订单与客户、入库测量与计费、国内货柜履约、海外仓业务及财务全量验收均复用本模块认证能力；按本次链路读取对应业务域/专题文档，重点核对 Token、应用域、客户隔离、失效和跨 Auth/IAM 补偿，不因历史规划边界排除其他消费者。