feat: let administrators view and copy encrypted integration credentials
This commit is contained in:
@@ -274,3 +274,7 @@ Event.WorkflowID为只读STORED生成列，从原不可变事件派生流程归
|
||||
`orbit_archive_jobs` 固定范围和卷，保存 PENDING/RUNNING/SUCCEEDED/FAILED/ABANDONED 状态、版本、领取次数、已确认的批数/根数/字节/链摘要，以及随机租约代次和截止。租约确认必须匹配代次与版本且未过期；人工操作需要原版本、幂等键与审计原因。两个表均无外键，关联在同一事务按命名空间核验。
|
||||
|
||||
数据库与文件不做跨资源事务。持久文件是恢复依据，数据库链前缀是可信核验锚点；文件发布后确认丢失，由原作业重新读文件校验后收敛，缺失文件不自动重建。见[接口与部署说明](api/archive-scheduler.md)。
|
||||
|
||||
### 当前 Token 保管（000033）
|
||||
|
||||
`orbit_credentials.secret_key_id` 指向独立文件中的主密钥；`secret_ciphertext` 保存 AES-256-GCM 的 nonce 与认证密文，两字段同时为空或非空。原文不进入持久化模型、日志和审计。既有摘要保留用于认证，旧记录通过管理员导入当前原文补存，不改变身份、版本、有效期或过渡截止。撤销清空密文，轮换原子替换当前摘要与密文；无外键。
|
||||
|
||||
@@ -278,7 +278,7 @@ A04派发已提交而消息尚未到达Worker的精确进程故障已通过[专
|
||||
### 单管理员应用接入（2026-09-27）
|
||||
|
||||
- 新增独立应用接入页：应用/环境分页、队列及凭据详情、选择业务能力新建应用、重新生成 Token、复制/下载 SDK 配置；沿用单管理员，不引入角色系统。
|
||||
- 新增 Cookie 专用管理接口，部署显式指定唯一登录名；同事务校验管理员与有效会话，写入要求同源与专用请求头。Token 只在生成时交付，数据库只存摘要。
|
||||
- 新增 Cookie 专用管理接口，部署显式指定唯一登录名；同事务校验管理员与有效会话，写入要求同源与专用请求头。最初采用摘要模式；后续管理员接入信息功能已改为当前 Token 加密保管，普通列表仍无秘密。
|
||||
- 新建资源/审计/幂等回执同事务，轮换复用现有凭据 ID 与轮换核心。请求不明保留原操作，原样重报；原有任务、订阅和交付身份不变。无新表、无外键、无 SDK 协议修改。
|
||||
- 已通过定向 MySQL 并发创建、幂等冲突、重名回滚、轮换/旧 Token 拒绝、退出失效与审计脱敏；真实 HTTP 已验证创建、轮换后原任务和订阅可读。标准/全量集成和页面验收记录见[本批报告](reports/console-applications.md)。
|
||||
- [页面使用、HTTP 接口及故障恢复](api/console-applications.md)。
|
||||
@@ -304,3 +304,11 @@ A04派发已提交而消息尚未到达Worker的精确进程故障已通过[专
|
||||
- 回归范围：标准竞态测试、vet/build、JavaScript 语法和文档链接；本地页面核对过渡原因可点击、凭据获取说明、正常换证入口与结束过渡确认弹窗。说明同步到[应用接入手册](api/console-applications.md)。
|
||||
- 已完成验收：基础回归通过；浏览器验证过渡原因点击、说明展开/关闭/再次打开、普通换证与新建保存提醒、结束过渡确认。验收没有轮换或停用现有应用凭据。
|
||||
- 本地接入命令已实跑：仓库外独立模块安装 SDK v0.1.1、读取队列及校验和通过；真实 Worker 三项成功且排空、结果订阅跨连接 ACK 去重、共享 Docker 网络就绪检查均通过。本地部署手册同步修正旧 Token 过渡语义。
|
||||
|
||||
### 管理员接入信息与 Token 保管（本批）
|
||||
|
||||
- [x] 当前 Token 加密保存；查看/导入同事务审计，单管理员 Cookie 与同源校验，列表脱敏。
|
||||
- [x] 「查看接入信息」「复制接入配置」「下载 orbit.env」，包含地址、应用/命名空间/队列与当前 Token。
|
||||
- [x] 新建/换证/撤销密文与摘要同步，原有效期和过渡策略保持；历史凭据导入校验当前摘要。
|
||||
- [x] 前向迁移 000033、中文模型注释、无外键；本地 Compose 持久主密钥与丢失保护。
|
||||
- [x] 标准回归、完整 MySQL/SDK/进程恢复、控制台端到端和浏览器验证通过；本地数据库升级为 33，原身份保持。见[验收报告](reports/credential-token-vault.md)。历史凭据仅有摘要时仍需导入当前原文，不会自动重置。
|
||||
|
||||
@@ -101,3 +101,7 @@ GET /version 版本、提交和协议身份
|
||||
## 4. 发布验收
|
||||
|
||||
镜像构建通过只证明发布物可复现，不等于生产高可用。发布候选仍需按[交付核对清单](release-checklist.md)完成真实 MySQL 回归、滚动替换、复制切换、容量、备份恢复和 RPO/RTO 验收。业务 Worker 继续独立部署，通过 HTTP/WebSocket SDK 接入。
|
||||
|
||||
### 管理员 Token 保管文件
|
||||
|
||||
启用 `ORBIT_CONSOLE_APPLICATION_ADMIN` 的部署必须通过 `ORBIT_CREDENTIAL_KEY_FILE` 指定 JSON 密钥环。将文件以只读卷或编排器 secret 挂载，并赋予容器 UID 65532 读取权限；不要写入镜像。所有节点与管理 CLI 共用密钥环。字段、升级顺序、备份和主密钥轮替见[接入信息部署](api/console-applications.md#8-部署-token-保管)。本地 Compose 自动创建和复用该文件。
|
||||
|
||||
@@ -152,3 +152,5 @@ docker compose -f deploy/docker-compose.yml -f deploy/docker-compose.ha.yml up -
|
||||
## 6. 当前边界
|
||||
|
||||
该文件是可重复的单节点启动基线，不代表自动数据库故障切换、跨故障域多副本、备份恢复或容量目标已经验收。生产上线还需要真实 MySQL 拓扑、滚动替换、凭据轮换、备份恢复、压测和 RPO/RTO 证据；对应门槛以[交付核对清单](release-checklist.md)为准。
|
||||
|
||||
启用应用接入管理员时，还须配置 `ORBIT_CREDENTIAL_KEY_FILE` 并在 Compose 覆盖文件中只读挂载对应主密钥文件（容器 UID 65532 可读）。基础 Compose 只传递路径，不生成生产秘密；[本地 Compose](../deploy/local/README.md)提供自动初始化。参见[Token 保管配置](api/console-applications.md#8-部署-token-保管)。
|
||||
|
||||
@@ -69,7 +69,7 @@ go run ./cmd/orbit-admin credential rotate \
|
||||
--output .local/rotated.credentials.json
|
||||
```
|
||||
|
||||
命令先读取并核对版本，生成一个固定 `operation_id`、令牌、可选绝对到期时间和固定过渡截止，写入新的 `0600` 私有操作文件，然后提交数据库事务。文件不得已存在；提交结果不明、网络断开或数据库返回未知错误时必须保留文件，并使用同一个文件执行 `credential apply --file`，不能重新执行 `rotate` 生成第二个秘密。`--valid-for` 默认 0（长期），也可配置 1 小时到 365 天；`--grace` 默认 168h（7 天），范围 0–720h，0 表示立即停用旧 Token。旧 Token 的实际截止取过渡截止与原到期时间的较早者，不复活已过期秘密。数据库只保存秘密摘要、请求摘要和脱敏回执。
|
||||
命令先读取并核对版本，生成一个固定 `operation_id`、令牌、可选绝对到期时间和固定过渡截止，写入新的 `0600` 私有操作文件，然后提交数据库事务。文件不得已存在；提交结果不明、网络断开或数据库返回未知错误时必须保留文件，并使用同一个文件执行 `credential apply --file`，不能重新执行 `rotate` 生成第二个秘密。`--valid-for` 默认 0（长期），也可配置 1 小时到 365 天；`--grace` 默认 168h（7 天），范围 0–720h，0 表示立即停用旧 Token。旧 Token 的实际截止取过渡截止与原到期时间的较早者，不复活已过期秘密。数据库保存认证摘要、请求摘要和脱敏回执；配置 ORBIT_CREDENTIAL_KEY_FILE 时还加密保存当前 Token，管理员可查看和复制。[管理员接入信息与密钥配置](console-applications.md#8-部署-token-保管)。
|
||||
|
||||
```sh
|
||||
go run ./cmd/orbit-admin credential apply \
|
||||
@@ -164,4 +164,4 @@ P4/P5实例公共接入增加`workflows:start/read/control/signal/recover`及`wo
|
||||
|
||||
## 部署升级
|
||||
|
||||
迁移 `000032` 为凭据表增加上一代摘要与 UTC 截止，并以 CHECK 约束成对为空；不新增外键、不改变已有秘密或有效期。新安装的基线同步到 32。按部署流程应用迁移并更新全部 Orbit 节点后再使用平滑换证；旧版本节点只认识当前摘要，不能在混合版本期间承诺旧 Token 可用。既有凭据不会被迁移自动改为长期，须通过有审计的 expiry 操作显式调整。
|
||||
迁移 `000032` 为凭据表增加上一代摘要与 UTC 截止，并以 CHECK 约束成对为空；不新增外键、不改变已有秘密或有效期。该次基线同步到 32；当前基线还包含后续 000033 Token 加密保管字段。按部署流程应用迁移并更新全部 Orbit 节点后再使用平滑换证；旧版本节点只认识当前摘要，不能在混合版本期间承诺旧 Token 可用。既有凭据不会被迁移自动改为长期，须通过有审计的 expiry 操作显式调整。
|
||||
|
||||
@@ -1,6 +1,6 @@
|
||||
# 控制台应用接入
|
||||
|
||||
单管理员在「应用接入」页面创建应用、初始队列与 SDK 凭据，查看环境、队列、权限和有效期，平滑换证，复制或下载 `.env` 配置。数据库只保存 Token 摘要：完整 Token 仅在新建或轮换时交付，列表和详情不能反查旧秘密。
|
||||
单管理员在「应用接入」页面创建应用、初始队列与 SDK 凭据，查看环境、队列、权限和有效期，平滑换证，复制或下载 `.env` 配置。业务认证使用 Token 摘要；当前 Token 使用 AES-256-GCM 加密保管。管理员可以随时查看、复制完整接入配置和下载 orbit.env，列表仅返回脱敏元数据。
|
||||
|
||||
## 1. 启用和使用
|
||||
|
||||
@@ -8,6 +8,7 @@
|
||||
|
||||
```sh
|
||||
export ORBIT_CONSOLE_APPLICATION_ADMIN=admin
|
||||
export ORBIT_CREDENTIAL_KEY_FILE=/run/orbit-secrets/credential-keys.json
|
||||
```
|
||||
|
||||
该账号必须已经通过 bootstrap 或 console-user create 创建。配置为空时所有应用接入管理请求返回 403，不会自动提升已有账号；多节点使用相同配置。继续使用单管理员，不引入角色管理系统。现有控制台账号与会话的绑定凭据仍须有效；到期前可在本页轮换。轮换 SDK Token 不改变浏览器独立会话秘密。
|
||||
@@ -17,11 +18,11 @@ export ORBIT_CONSOLE_APPLICATION_ADMIN=admin
|
||||
1. 点击「新建应用」，填写应用名称、环境、命名空间、初始队列和操作原因。
|
||||
2. 选择 Worker、结果订阅、定时、流程等需要的能力及有效期。基础权限包含任务提交/查询/取消、队列读取/管理。
|
||||
3. 创建成功后复制或下载完整 `.env`，交给该应用的服务端配置。默认地址使用当前页面来源，详情中可改为容器地址或部署域名。
|
||||
4. 已接入应用可以随时查看元数据和配置模板。模板中的 Token 是占位值，必须替换成已经保存的原 Token。
|
||||
4. 已接入应用点击「查看接入信息」或「复制接入配置」，获取包含当前 Token 的完整配置；也可下载 orbit.env。
|
||||
5. 「平滑换证」保留 application_id、namespace_id、credential_id、队列、任务和订阅；新 Token 立即生效，旧 Token 在配置的过渡期内继续使用（页面默认 7 天，支持 1/7/30 天），便于逐台更新配置。详情展示旧 Token 实际截止，全部服务切换后可点「结束过渡」。
|
||||
6. 默认「长期有效」，不需要每月人工换证；已有凭据可点「调整有效期」直接设为长期，原 Token 保持不变。
|
||||
|
||||
凭据卡片将「凭据 ID」与「当前 Token」分开展示：ID 只是标识，不能填入 ORBIT_TOKEN。点击「Token 在哪里查看？」可查看获取位置和未保存时的处理说明。完整 Token 请从创建或换证时下载的 `orbit.env`、已保存的 SDK 配置或业务服务配置中读取；处于过渡期时，业务配置可能仍是旧 Token，新 Token 要以本次换证保存的配置为准。页面里的「SDK 配置模板」不含完整 Token。
|
||||
凭据卡片提供「查看接入信息」「复制接入配置」。配置包含 ORBIT_URL、ORBIT_APPLICATION_ID、ORBIT_NAMESPACE_ID、ORBIT_QUEUE_ID、ORBIT_TOKEN；可直接粘贴为环境配置。先选择业务服务实际可访问的地址和队列，再复制；应用 ID 用于识别，真正认证身份来自 Token。过渡期始终返回当前新 Token，调整有效期或结束旧代过渡后仍可查看。历史凭据尚无密文时提供「导入当前 Token」，不能把仍可用的旧代 Token 导入为当前代次。
|
||||
|
||||
环境与命名空间形成隔离边界。不同应用应分别创建；同一应用的多个命名空间在列表中分别展示。页面支持新建应用及其初始队列；业务列表可通过应用筛选栏切换范围，分别展示各应用数据。未提供应用删除、身份迁移或现有应用新增命名空间的表单；已有 CLI 的 `--application-id` 仍可增加命名空间，队列 SDK 可增加同范围队列。
|
||||
|
||||
@@ -35,6 +36,8 @@ export ORBIT_CONSOLE_APPLICATION_ADMIN=admin
|
||||
| `GET /console/applications/{namespace_id}` | 应用/环境详情、最多 100 个队列和 100 张脱敏凭据；超出返回 `truncated=true` |
|
||||
| `POST /console/applications/prepare` | 校验意图，生成固定操作 ID、资源 ID、Token、绝对到期时间；不创建资源、不轮换秘密 |
|
||||
| `POST /console/applications/apply` | 提交准备结果，原样重报返回原脱敏回执 |
|
||||
| `POST /console/applications/{namespace_id}/credentials/{credential_id}/token/reveal` | 管理员读取当前 Token；审计成功后才返回 |
|
||||
| `POST /console/applications/{namespace_id}/credentials/{credential_id}/token/import` | 校验并加密补存当前 Token，不轮换身份 |
|
||||
|
||||
POST 必须有 `Content-Type: application/json` 和 `X-Orbit-Console: 1`；浏览器 Origin 必须匹配当前主机，拒绝跨站 Fetch Metadata，不提供跨域授权。响应禁止缓存，成功信封为 `{"data": ...}`。未知字段、重复 JSON 键、显式 null 和错误类型被拒绝，正文上限 512 KiB。
|
||||
|
||||
@@ -73,7 +76,7 @@ prepare 响应 data 为固定操作对象：
|
||||
}
|
||||
```
|
||||
|
||||
以上是结构示意，ID、令牌及时间以服务端返回为准。将 **data 整体原样** POST 到 apply，不包 `data` 外层。应用、额度、命名空间、队列、凭据摘要、审计和幂等回执在同一事务提交。初始队列并发 4、开始速率 10/秒，沿用 bootstrap 默认策略；凭据队列范围为新命名空间的全部队列。重名应用返回 409，不覆盖原资源。
|
||||
以上是结构示意，ID、令牌及时间以服务端返回为准。将 **data 整体原样** POST 到 apply，不包 `data` 外层。应用、额度、命名空间、队列、凭据摘要、Token 密文、审计和幂等回执在同一事务提交。初始队列并发 4、开始速率 10/秒，沿用 bootstrap 默认策略；凭据队列范围为新命名空间的全部队列。重名应用返回 409，不覆盖原资源。
|
||||
|
||||
## 4. 平滑换证
|
||||
|
||||
@@ -91,7 +94,7 @@ prepare 请求：
|
||||
}
|
||||
```
|
||||
|
||||
expected_revision 为读取到的字符串版本。只允许上述轮换字段，不混入新应用名称或能力组。准备对象包含原 application_id / namespace_id / credential_id，没有 queue_id。apply 复用原有凭据轮换事务：将原摘要保留到固定过渡截止，替换当前摘要与可选到期时间，版本加一，保存脱敏回执及人类账号审计；权限组不改变。已撤销的凭据禁止变更。ROTATE 的 grace_days 范围 0–30，API 省略/0 保持立即停用旧 Token 的兼容语义，页面显式提交 7；实际截止不超过旧 Token 原到期时间。过渡未结束时再次轮换返回 409。
|
||||
expected_revision 为读取到的字符串版本。只允许上述轮换字段，不混入新应用名称或能力组。准备对象包含原 application_id / namespace_id / credential_id，没有 queue_id。apply 复用原有凭据轮换事务：将原摘要保留到固定过渡截止，原子替换当前摘要、密文与可选到期时间，版本加一，保存脱敏回执及人类账号审计；权限组不改变。已撤销的凭据禁止变更。ROTATE 的 grace_days 范围 0–30，API 省略/0 保持立即停用旧 Token 的兼容语义，页面显式提交 7；实际截止不超过旧 Token 原到期时间。过渡未结束时再次轮换返回 409。
|
||||
|
||||
页面在过渡期将入口标为「暂不可换证 · 查看原因」，同时显示实际截止和切换步骤。该入口可以点击，打开只读说明弹窗，不会提交换证或结束过渡。这表示上一轮换证已生效；再次轮换会挤掉仍在使用的旧 Token，所以暂时禁止。将已保存的新 Token 配置到所有服务、Worker 和结果消费者，并收尾在途任务。到期后页面刷新会恢复换证入口；只有确认全部切换完成，才可提前点「结束过渡，停用旧 Token」。结束过渡会立即停用旧 Token，不能仅为解锁按钮而操作。已撤销凭据单独显示「已撤销 · 查看原因」，同样只打开说明。
|
||||
|
||||
@@ -133,8 +136,7 @@ SET_EXPIRY 不生成新 Token，只更新当前有效期；valid_days=0 为长
|
||||
|
||||
- 页面提交前把整个固定操作保留在当前内存；请求超时或结果未知时，按钮变成「重试确认」，重用同一份内容。不能再次 prepare 来代替核对。
|
||||
- 页面允许「保存待核对操作」下载私密 JSON；含真实 Token，应放到受限目录。恢复时登录同一管理员后，向 apply 发送该文件正文。不要把 Cookie 或操作文件提交 Git，也不要放到 URL。
|
||||
- 关闭/刷新页面会丢失内存中的 Token，页面会提醒先保存。若新建已经成功、交付内容未保存，可从应用列表重新生成同一凭据的 Token；不要再次创建同名应用。
|
||||
- 创建/换证前和成功交付时明确提示「只显示一次」及过渡期限制；未复制/下载时，关闭确认也提示原文不可回看。若换证后的新 Token 未保存，先查下载文件或已更新的部署配置。确实丢失且仍在过渡期时，需要安排维护窗口暂停接收新任务并收尾在途执行，再由管理员结束过渡、重新换证，保存和更新配置后恢复运行；平台不自动解除保护，也不能从摘要还原原文。
|
||||
- 关闭窗口后清除浏览器中的明文，管理员可以重新查看，无需再次换证。
|
||||
- 原操作返回的回执是历史快照，可能已被后续轮换替代。页面会重新读取当前凭据版本后才展示配置。
|
||||
- 管理审计主体是 `console:<user_id>`；正文只有权限、资源 ID、到期时间等元数据。列表、审计、幂等回执和业务记录都不保存秘密原文。
|
||||
- 当前管理员退出、会话过期或账号停用后不能重放管理操作。SDK Token 撤销/到期与控制台登录资格沿用既有账号绑定约束。
|
||||
@@ -152,3 +154,47 @@ SET_EXPIRY 不生成新 Token，只更新当前有效期；valid_days=0 为长
|
||||
可重复运行的真实 HTTP 场景见 [test-console-applications.py](../../scripts/test-console-applications.py)，标准容器入口 `make console-e2e` 同时验证此链路。基础 SDK 使用方式见 [SDK 接入](../sdk/README.md)。
|
||||
|
||||
业务数据的应用筛选、队列分页及会话隔离见[应用范围接口](console-scope.md)。
|
||||
|
||||
## 7. 当前 Token 与历史导入
|
||||
|
||||
详情返回 `token_vault_enabled`；每张凭据的 `token_stored` 表示当前 Token 是否已保管。列表、详情、审计和幂等回执都不包含原文。
|
||||
|
||||
查看请求：
|
||||
|
||||
```json
|
||||
{"expected_revision":"3"}
|
||||
```
|
||||
|
||||
导入请求：
|
||||
|
||||
```json
|
||||
{"expected_revision":"3","token":"已保存的当前完整 Token"}
|
||||
```
|
||||
|
||||
成功响应：
|
||||
|
||||
```json
|
||||
{"data":{"namespace_id":"33333333333333333333333333333333","credential_id":"55555555555555555555555555555555","revision":"3","token":"当前完整 Token"}}
|
||||
```
|
||||
|
||||
只接受当前凭据版本。版本冲突、撤销或旧记录未保管返回 409；导入的身份或秘密与当前摘要不符返回 400（旧代处于过渡期也不例外）；密钥缺失/解密失败返回 503。读取需要 Cookie、同源和 X-Orbit-Console，与其他管理 POST 相同。响应 `Cache-Control: no-store`；审计动作分别是 `console.credential.token.view`、`console.credential.token.import`，不含 Token、摘要或密文。
|
||||
|
||||
导入可以重复提交同一当前 Token，每次成功操作记录审计；不修改认证 revision、到期时间、权限或旧代截止。网络结果不明时可重新读取元数据或重报同一导入。读取/导入遇到审计写入失败或提交结果不明，不返回秘密。读取与换证对同一凭据加锁，返回的是该事务看到的当前代次；之后其他管理员的新轮换仍以实际数据库状态为准。
|
||||
|
||||
## 8. 部署 Token 保管
|
||||
|
||||
启用 `ORBIT_CONSOLE_APPLICATION_ADMIN` 时必须配置 `ORBIT_CREDENTIAL_KEY_FILE`，文件格式：
|
||||
|
||||
```json
|
||||
{"active":"key-v1","keys":{"key-v1":"32 字节随机密钥的标准 Base64 编码"}}
|
||||
```
|
||||
|
||||
主密钥由部署方生成，权限限定运行用户读取；不要使用示例文字作为密钥。所有服务节点和管理 CLI 使用同一份密钥环，通过只读文件挂载部署，不写进镜像、Git 或数据库。参考[本地部署](../../deploy/local/README.md)自动生成方案。最多 16 把密钥，文件最多 64 KiB。密文绑定 namespace_id / credential_id，不能跨凭据替换。
|
||||
|
||||
升级先停止旧节点、应用迁移 000033、配置密钥再启动全部新节点；旧写节点不认识密文列，不能混合版本承诺回看一致性。迁移仅增加两个可空字段和成对 CHECK，无外键，不改变已有 Token、版本、有效期或过渡时间。
|
||||
|
||||
数据库和密钥文件分别备份。更换主密钥时使用新 key ID，将其设为 active，同时保留仍有密文引用的旧 key；在更新所有节点之前不写新 key ID 的数据。历史密文可以先查看、再导入同一 Token 以重新加密，不需要更换业务 Token。不得将旧 ID 映射到不同密钥，也不得在密文尚未迁移时删除旧 key。
|
||||
|
||||
管理 CLI 的 bootstrap / credential rotate / apply 读取同一环境变量。未设置时保持摘要模式，轮换会清除旧密文；之后必须导入该次新 Token 才能回看。控制台启用应用管理员时不会允许遗漏主密钥配置。
|
||||
|
||||
历史库仅有 SHA-256 摘要，无法凭摘要重建原文。请从既有业务配置或下载文件导入当前 Token；不要为补存秘密提前结束仍在使用的旧 Token 过渡。
|
||||
|
||||
@@ -9,7 +9,7 @@ http://127.0.0.1:8080/console/
|
||||
## 当前能力
|
||||
|
||||
- 读取 `/health/live`、`/health/ready` 和 `/version` 展示服务、Schema 与工具链状态。
|
||||
- 通过数据库中的控制台账号登录；服务端使用 HttpOnly 会话 Cookie 调用现有授权 API，浏览器不接触业务 Token。
|
||||
- 通过数据库中的控制台账号登录；服务端使用 HttpOnly 会话 Cookie 调用现有授权 API，普通业务页面无需业务 Token；应用接入页仅在管理员明确查看时读取当前 Token。
|
||||
- 总览页直接展示当前查询窗口的任务成功率、任务状态分布、活跃计划、待核查流程和待交付结果；登录和权限信息不会占用统计区域。
|
||||
- 页顶选择应用、环境与队列；任务、计划、流程、订阅、归档列表和详情显示应用归属。筛选保存在 URL，刷新、复制链接及后退可恢复。
|
||||
- 点击任务查看任务详情、执行尝试时间线、最终结果和操作审计摘要。
|
||||
@@ -80,7 +80,7 @@ export ORBIT_CONSOLE_QUEUE_ID='queue_xxx'
|
||||
|
||||
## 应用接入
|
||||
|
||||
侧栏「应用接入」提供应用创建、队列与凭据查看、Token 重新生成和完整 SDK 配置交付。配置 `ORBIT_CONSOLE_APPLICATION_ADMIN=admin` 指定唯一管理登录名；本地 Compose 已配置。业务页面支持该管理员选择应用范围，订阅原 SDK 凭据绑定不变。[功能、接口、权限和恢复说明](api/console-applications.md)。
|
||||
侧栏「应用接入」提供应用创建、队列与凭据查看、Token 重新生成和完整 SDK 配置交付。配置 `ORBIT_CONSOLE_APPLICATION_ADMIN=admin` 指定唯一管理登录名，并配置 `ORBIT_CREDENTIAL_KEY_FILE` 保管密钥；本地 Compose 自动配置。可随时查看、复制当前完整接入信息。业务页面支持该管理员选择应用范围，订阅原 SDK 凭据绑定不变。[功能、接口、权限和恢复说明](api/console-applications.md)。
|
||||
|
||||
## 按应用查看数据
|
||||
|
||||
|
||||
38
docs/reports/credential-token-vault.md
Normal file
38
docs/reports/credential-token-vault.md
Normal file
@@ -0,0 +1,38 @@
|
||||
# 管理员接入信息与 Token 保管验收
|
||||
|
||||
日期：2026-09-27。范围：当前 Token 的管理员查看、完整配置复制、历史凭据导入与本地部署。
|
||||
|
||||
## 交付行为
|
||||
|
||||
- 应用凭据卡片提供「查看接入信息」「复制接入配置」，弹窗可下载 `orbit.env`。
|
||||
- 完整配置包含服务地址、应用 ID、命名空间 ID、授权队列 ID 和当前 Token；可指定主机、容器或域名地址。
|
||||
- 关闭弹窗会清除页面中的明文，管理员可重新读取。业务列表不会自动拉取秘密。
|
||||
- 新建、换证在原事务内保存 AES-256-GCM 密文；到期时间变更、结束过渡不影响回看；撤销清空密文。
|
||||
- 过渡期可以查看当前新 Token。历史导入必须匹配当前摘要，旧代仍有效也不能冒充当前代次。
|
||||
- 查看、导入均校验有效管理员会话、请求同源和版本；审计确认提交后才返回秘密。
|
||||
|
||||
## 验证
|
||||
|
||||
| 层次 | 验证内容 | 结果 |
|
||||
| --- | --- | --- |
|
||||
| 加密单测 | 随机 nonce、往返、密文篡改、跨凭据/命名空间、未知 key、保留旧 key、配置边界和格式脱敏 | 通过 |
|
||||
| MySQL 专项 | 历史导入、重复导入、SDK/错误管理员拒绝、审计失败回滚与禁止交付秘密 | 通过 |
|
||||
| MySQL 凭据生命周期 | 新建密文、读取/轮换并发、过渡期当前代次、拒绝旧代导入、expiry/finalize 保留、旧操作重报、旧 CLI 轮换清理、撤销清理 | 通过 |
|
||||
| 历史升级 | 从历史 v9 重建并迁移到当前版本、原在途任务和额度继续结清；旧记录可空字段兼容 | 通过 |
|
||||
| 标准回归 | `make test vet build`，包含根模块、SDK、示例与 Outbox 适配器 | 通过 |
|
||||
| MySQL 全量存储 | `internal/storage/mysql` 的完整真实事务回归，含 `-race` | 通过 |
|
||||
| HTTP/容器端到端 | `make console-e2e`：Cookie/CSRF/no-store、查看/导入、长期凭据、平滑换证及结束过渡、Worker/重试/计划/归档 | 通过 |
|
||||
| 浏览器 | 完整配置字段与当前应用/授权队列一致、一键复制成功、Docker 地址切换、关闭清空、历史导入入口 | 通过 |
|
||||
| 文档与格式 | 本地 Markdown 链接、JS 语法、Go 格式及 diff 检查 | 通过 |
|
||||
|
||||
`make integration` 已完整通过：独立 SDK、任务/计划/流程/结果订阅示例、事务 Outbox 与嵌入 HTTP 服务、跨节点重连和 Worker/Event/Workflow 全进程恢复均完成；退出码为 0。
|
||||
|
||||
本次回归曾发现历史升级测试还原 v9 时未移除新增密文列，以及空身份在数据库层被拒绝而非权限层拒绝；已修正并通过专项及后续全量存储回归。
|
||||
|
||||
## 部署与兼容边界
|
||||
|
||||
迁移 `000033` 增加两个有中文注释的可空字段和成对 CHECK；实际本地数据库版本 33，外键数量 0。主密钥在独立受限文件与只读卷中保存，重复部署保留，不修改应用 Token、权限、有效期或过渡截止。
|
||||
|
||||
历史摘要不能反推出原文。具有当前配置的应用可一次导入补齐；只有过渡期旧配置的应用仍需取得已保存的新 Token，不会自动结束过渡或重置身份。源码仓库不包含真实业务 Token、管理员密码或主密钥。
|
||||
|
||||
接口、密钥配置、多节点升级与备份说明见[应用接入](../api/console-applications.md)。该结果验证本次功能和本地环境，不替代生产数据库高可用及容量验收。
|
||||
Reference in New Issue
Block a user