鉴权说明

编写人：刘洋

适用系统：行政协同平台 V1.2

账号来源：公司统一账号

生效日期：0000-00-00

一、鉴权目标

鉴权用于确认是谁在办理、能办理哪一类事，并留下可追溯记录。员工只能提交和查看自己的预订、请假、访客和申领。主管可以审批直属下属的请假。行政可以确认访客、查看用品库存。研发值班可以查看日志和错误统计，业务单据内容需单独授权后才能打开。陈静于 9月9日确认这四类角色与试点分工一致。

二、登录方式

1. 员工使用公司统一账号和密码登录，密码校验由统一账号服务完成，本系统不保存密码。
2. 已绑定企业微信的员工可以扫码登录，扫码成功后颁发与密码登录相同的访问令牌。
3. 连续 5 次密码错误后锁定 15 分钟，锁定期间扫码登录仍可使用。
4. 试点 420 人中，9月12日已有 408 人完成首次登录，其余 12 人由周敏在入职当日协助开通。

三、令牌与会话

登录成功后颁发访问令牌和刷新令牌。访问令牌有效期 2 小时，刷新令牌有效期 7 天。访问令牌过期后，前端用刷新令牌换取新的访问令牌，用户无需重新输入密码。刷新令牌过期或员工被停用时，前端回到登录页。令牌只存放在浏览器内存，关闭页面后需重新登录或依靠 7 天内的刷新令牌恢复。刘洋于 9月13日验证：令牌在 2 小时零 1 分时访问写接口，返回业务码 40001。

四、角色与权限

一名主管同时拥有员工角色，可以给自己提交请假，该单据由其上级审批。周敏同时拥有员工角色，申领用品时按员工路径扣减库存。

五、接口校验

1. 网关检查访问令牌的签名和有效期，失败时返回 40001，业务服务不会被调用。
2. 请假审批接口核对当前用户是该单据发起人的直属主管，否则返回 40003。
3. 访客确认和库存调整只接受行政角色，员工调用时返回 40003。
4. 查询类接口按角色过滤：员工查询我的申请只返回本人，行政查询访客返回全部待确认记录。
5. 单账号每分钟最多 60 次请求，超过后返回 40009，1 分钟后恢复。

六、审计日志

登录成功、登录失败、审批、访客确认和库存扣减写入审计日志。每条含时间、工号、动作、单据号和 requestId，事由正文不写入日志。日志保留 180 天，存放在独立表，业务库备份时一并备份。9月19日陈静的请假审批在日志中留下同意记录，操作人为张伟，时间为 16:40:01。刘洋每周一导出上一周的失败登录次数，9月16日当周为 7 次，均未形成锁定。

审计查询只开放给 3 名研发值班。陈静于 9月20日抽查同意记录，能看到单据号 LV-0000-054 和操作人张伟，事由正文留在业务库。该分工于 9月9日写入角色说明，周敏确认行政账号看不到他人请假事由。