Core 用户与会话执行记录
密码登录、会话轮换撤销与受保护 Key 读取
最新进展：Key 创建、修改、启停、删除与搜索已完成，当前 Core 共 13 条业务路由，见Key 管理执行记录。下文记录此前切片及其验证范围。
2026-09-12，接续工程初始化执行 CE-02 的用户/会话切片。已在独立 Core Go 工作树接通真实密码登录、会话刷新/撤销与 Key 读取，使用隔离 PostgreSQL 和 SQLite 验证。现网与原用户数据库未接入。
已完成的本地链路
新库显式迁移 → CLI 创建普通客户 → 密码登录 → access JWT → 本人资料/Key 列表 → 受控取回完整 Key → 刷新 → 退出 → 旧 JWT 被拒绝。
| 方法与路径 | 本批行为 |
|---|---|
POST /api/user/login | username/password JSON，返回令牌、会话和身份字段；Argon2id 与历史 bcrypt 校验 |
POST /api/user/auth/refresh | HttpOnly Cookie 刷新；可传 X-Auth-Session 防止旧标签页混用会话 |
POST /api/user/auth/logout | 服务端撤销当前指定会话，保护其他账户的浏览器 Cookie |
GET /api/user/self | 当前账户身份字段，不假设已实现余额/价格/权限配置 |
GET /api/user/sessions | 本人有效会话列表 |
DELETE /api/user/sessions/:sid | 本人会话撤销；他人/不存在返回相同 404 |
GET /api/token/、GET /api/token/:id | 接入真实登录鉴权，仅本人记录和掩码 |
POST /api/token/:id/key | 允许的 Origin、用户限流，先提交审计再返回完整值 |
规范候选：身份与会话 6 条接口、Key 读取 3 条接口。Contracts 未发布 SDK；上游 387 条参考台账的完成状态不因本切片自动改变。
复用与适配
保留 new-api 的密码算法、短期 JWT、数据库会话/版本、刷新摘要、确定性后继值与 30 秒并发重放窗口。数据库每次验证用户状态和会话撤销，角色不从客户端或 JWT 权限声明中取值。
OceanWay 签名密钥及 issuer/audience 独立，旧站登录令牌不可直接接受。正常 Bundle/Session 形状保留；Self 暂为身份字段子集，错误登录为 401，错误 JSON/未知字段为 400，非 JSON 为 415。Origin 在本地 HTTP 模式同样校验，刷新失败不覆盖新会话 Cookie。以上差异已记录在 Contracts。
配置文件显式提供数据库 DSN 与会话密钥；无自动迁移或默认账户。迁移按 SQL SHA-256 验证，重复执行只核验；旧 users/tokens 表没有 OceanWay 迁移标记时拒绝接管。当前身份新库迁移含用户、会话、Key、审计，不含账务。
实际验证
- Go 1.25.1：竞态测试、静态检查、服务/迁移/账户创建命令编译通过。
- SQLite 与隔离 PostgreSQL：登录、Key 归属、普通客户 Admin 拒绝、刷新并发、刷新与撤销并发、重用撤销、账号停用/版本更新、跨账户撤销拒绝、Origin/CORS、审计失败和迁移保护。
- 真实进程：重复迁移、CLI 创建与重复用户名拒绝、HTTP 登录/资料/Key/会话/刷新/退出闭环通过；验证后临时进程、测试 schema 与密钥文件已清理。
- 来源与依赖继续固定 new-api，完整值不会写入本轮证据文件。
本机证据：coordination/core-session-execution.json、coordination/core-session-smoke.json。运行说明：Core 仓 docs/identity-runtime.md。默认启动仍只开放探针；显式 CORE_ENABLE_AUTH=1 且配置与迁移通过后才挂载上述业务路由。身份模式的 readiness 为 identity_and_token_management，不表示其他模块就绪。
尚未完成
AUTH-G01 的全平台登录要求保持。当前只验证统一身份后端与已注册 Origin 的访问，尚未实现不同站点的授权码交接、产品回调和全部起点/目标浏览器验收；不能据此宣称全平台 SSO 已完成。
公开注册、MFA/OAuth/密码重置、管理员业务 API、Redis 共享限流、价格账务及 Edge 模型调用继续按后续切片推进。当前限流为单进程实现，无多节点容量结论。Key 写入闭环已经完成；下一步继续跨站会话交接；Edge 的模型/流式工作保持后续优先项。