2ba4250165
- monorepo: pnpm workspace + go.work + pyproject.toml + commitlint/husky - infra: docker-compose (minimal + full profiles) + init-sql + prometheus - arch-scan: multi-language scanner skeleton (TS/Go/Python/Proto) - shared-proto: buf v2 + classes.proto (ClassService CRUD contract) - api-gateway: Go/Gin + JWT HS256 auth + reverse proxy + request ID - classes: NestJS golden template (error system + observability + middleware + CRUD + tests) - teacher-portal: Next.js + paper-feel UI design system - CI/CD: 4 workflows (go/ts/py/proto) - docs: migration guide + project_rules + coding-standards + git-workflow + ui-design-system + 004 + 9 module READMEs + known-issues + spec/plan migration + roadmap
103 lines
3.0 KiB
Markdown
103 lines
3.0 KiB
Markdown
# iam 身份认证服务
|
||
|
||
> 版本：0.1（骨架）
|
||
> 日期：2026-07-07
|
||
> 状态：P2 待交付
|
||
> 关联文档：[架构影响地图](../../architecture/004_architecture_impact_map.md)
|
||
|
||
---
|
||
|
||
## 1. 模块职责
|
||
|
||
iam 是身份认证限界上下文，管理 User、Role、Permission 三大聚合。
|
||
负责用户注册/登录/登出、JWT RS256 签发与刷新、三层角色模型（系统/组织/临时）分配与校验。
|
||
同时对外提供权限列表查询（供 api-gateway 与业务服务缓存）。
|
||
|
||
---
|
||
|
||
## 2. 技术栈
|
||
|
||
| 类别 | 技术 | 版本 | 用途 |
|
||
|------|------|------|------|
|
||
| 语言 | TypeScript | 5.5+ | 类型安全 |
|
||
| 框架 | NestJS | 10.x | 依赖注入、模块化 |
|
||
| ORM | Drizzle ORM | 0.31+ | 数据访问 |
|
||
| 数据库 | MySQL | 8.x | 用户/角色/权限主库 |
|
||
| 缓存 | Redis | 7.x | 权限列表缓存、会话 |
|
||
| 密码 | bcrypt | 5.x | 密码哈希 |
|
||
| 校验 | Zod | 3.23+ | 运行时校验 |
|
||
| JWT | jose | 5.x | RS256 签发与公钥暴露 |
|
||
|
||
---
|
||
|
||
## 3. 架构图
|
||
|
||
```mermaid
|
||
graph TB
|
||
BFF[BFF/网关] -->|gRPC| IAM[iam 服务]
|
||
IAM --> USER[UserAggregate]
|
||
IAM --> ROLE[RoleAggregate]
|
||
IAM --> PERM[PermissionAggregate]
|
||
IAM -->[(MySQL)]
|
||
IAM -->[(Redis<br/>权限缓存)]
|
||
IAM -->|JWKS| GW[api-gateway 公钥拉取]
|
||
IAM -.事件.-> K[(Kafka<br/>edu.identity.user.*)]
|
||
```
|
||
|
||
> 待 P2 交付时补充完整的分层架构图（Controller/Application/Domain/Infrastructure）。
|
||
|
||
---
|
||
|
||
## 4. 核心流程图
|
||
|
||
```mermaid
|
||
sequenceDiagram
|
||
participant GW as API Gateway
|
||
participant IAM as iam
|
||
participant DB as MySQL
|
||
participant K as Kafka
|
||
|
||
GW->>IAM: gRPC Login(username, password)
|
||
IAM->>DB: 查询用户 + bcrypt 校验
|
||
IAM->>IAM: 生成 JWT RS256
|
||
IAM-->>GW: {accessToken, refreshToken}
|
||
IAM->>K: 发布 edu.identity.user.logged_in
|
||
```
|
||
|
||
> 待 P2 交付时补充：刷新令牌流程、权限校验流程、角色分配流程。
|
||
|
||
---
|
||
|
||
## 5. 对外契约
|
||
|
||
- **gRPC 服务**：UserService（Login/Refresh/Logout/Register/GetUserProfile）、RoleService、PermissionService（待 P2 定义 protobuf）
|
||
- **HTTP 端点**：`/.well-known/jwks.json` 暴露 RS256 公钥
|
||
- **领域事件**：`edu.identity.user.created`、`edu.identity.user.updated`、`edu.identity.role.assigned`
|
||
|
||
> 待 P2 交付时补充完整 protobuf 定义与事件 schema。
|
||
|
||
---
|
||
|
||
## 6. 依赖关系
|
||
|
||
- **上游**：teacher-bff、student-bff、parent-bff、api-gateway（JWKS 拉取）
|
||
- **下游**：MySQL（用户/角色/权限表）、Redis（权限缓存）、Kafka（领域事件）
|
||
- **共享包**：shared-proto、shared-ts
|
||
|
||
---
|
||
|
||
## 7. 架构约束
|
||
|
||
1. JWT 必须使用 RS256 非对称签名，私钥仅 iam 持有
|
||
2. 密码必须 bcrypt 哈希，禁止明文存储
|
||
3. 权限列表缓存 TTL 5 分钟，事件驱动失效
|
||
4. 三层角色权限取并集，拒绝权限取交集
|
||
|
||
> 待 P2 交付时补充完整约束清单。
|
||
|
||
---
|
||
|
||
## 8. 架构决策
|
||
|
||
> 待 P2 交付时补充 ADR 记录，预计包括：RS256 选型、bcrypt 参数、会话管理策略、权限缓存策略。
|