角色分工
| 角色 | 主要职责 |
|---|---|
| org_admin | 组织管理、成员与策略配置 |
| repo_maintainer | 仓库维护、同步与构建诊断 |
| release_manager | 创建快照、推进和回滚渠道 |
| agent_manager | 管理 Profiles 与终端凭据 |
| auditor | 阅读审计记录 |
成员可分配多个角色。服务端会检查权限，不能仅依赖前端按钮是否显示判断授权范围。
三种不同的身份
管理端会话用于人员操作；Git 凭据用于读取来源仓库；客户端 Token 用于读取 Profile 授权内容。不要混用它们。
Git 凭据通过受保护的环境变量或部署 Secret 注入，管理页面保存引用。仓库地址里不要嵌入用户名密码。Webhook 使用单独的 Secret 引用。
客户端 Token
注册或轮换时仅返回一次明文，数据库存储哈希。若响应丢失，幂等重放不会重新显示 Token，应轮换后重新配置终端。客户端凭据有有效期，应监控并安排轮换。
吊销后不能继续刷新授权。离线读取遵循 Profile 策略；允许离线缓存与断网即时撤权不能同时保证。
生产登录
生产模式使用 OIDC，禁止本地密码登录。管理员预先创建成员并分配角色，用户通过已验证的企业邮箱完成首次身份绑定。MFA 在企业 IdP 配置。
审计与发布确认
在 审计日志（管理端） 按 Actor、Action、Target 和时间检索。重要更新记录前后状态，发布与回滚记录原因和渠道变化。
发布渠道采用并发控制；遇到冲突，刷新后重新审阅。不要通过直接修改数据库来绕开发布事务或审计。