提交

README.md

@@ -21,12 +21,14 @@
 
 1. 用户在国内统一入口登录，获得使用非对称算法签名的短时效 JWT。
 2. JWT 包含用户、租户、应用端、角色、按钮权限和权限版本等快照信息。
-3. 海外网关通过 `JWT_JWK_SET_URI` 获取并缓存公钥，只负责验签、签发方、有效期和应用端校验，不保存签名私钥。
+3. 海外网关通过 `JWT_JWK_SET_URI` 获取并缓存公钥，校验 RS256/ES256 签名、签发方、有效期、`lastleg-api` Audience、应用端和必要身份声明，不保存签名私钥。
 4. 尾程业务服务通过公共安全组件读取权限快照并执行接口、按钮和租户边界校验，不在每次请求时跨区查询国内权限数据。
 5. 用户停用、租户冻结和权限版本变化通过跨区事件同步到海外本地投影；高风险操作可依据本地冻结投影立即拒绝。
 
 海外服务不得依赖国内 Redis 中的登录会话。正式上线前，头程公共安全制品必须完成 JWKS 解码器和本地权限快照校验改造。
 
+生产令牌必须包含 `sub`、`tenant_id`、`app_code`、`permission_version`，且 `aud` 必须包含配置的 `JWT_AUDIENCE`。认证中心应将访问令牌有效期控制在 5 至 15 分钟，并通过权限事件及时同步用户停用、租户冻结和权限版本变化。
+
 ## 公共制品依赖
 
 本仓库不复制 `common-*` 源码。公共组件由头程仓发布到 Maven 私有仓库，本项目通过以下制品导入版本：
@@ -48,7 +50,7 @@ com.baiyue.shared:common-event-contract
 | 服务 | 独立数据库 |
 |---|---|
 | `lastleg-service` | `baiyue_lastleg` |
-| `warehouse-service` | `baiyue_warehouse` |
+| `warehouse-service` | `baiyue_lastlag_warehouse` |
 | `file-service` | `baiyue_file` |
 | `print-service` | `baiyue_print` |
 | `audit-service` | `baiyue_audit` |
@@ -56,6 +58,8 @@ com.baiyue.shared:common-event-contract
 
 服务之间不得跨库查询。国内订单和头程事实通过版本化事件进入尾程本地投影，尾程状态和签收事实也通过事件回传国内。
 
+事件桥的海外本地投递使用数据库租约避免多实例重复领取，失败后指数退避并在达到上限后进入 `DEAD`。每次投递写入 `bridge_delivery_attempt`；经审批后可调用内部补投接口重新进入重试队列。生产环境必须将事件桥内部接口置于来源白名单和 mTLS 之后，并把 `LASTLEG_CONSUMER_URL` 配置为受信任的 HTTPS 内部地址。
+
 ## 文件服务说明
 
 原工程中企业资质上传后同步调用国内权限服务的链路已从尾程仓移除。海外文件中心当前只保留基础骨架；提单、装箱单、清关文件和签收证明的对象存储、授权下载、病毒扫描及保留期限策略属于后续必做能力。