边界写在明处
门禁授权系统的认证边界、权限模型，以及 SaaS 与私有化部署的数据位置
今约锁的安全边界由三部分构成：人、现场节点与对外集成各走互相隔离的认证域，未声明归属的请求一律拒绝，管理权与开门权分别授予。这一页只写系统里已经存在的机制，没有实现的东西列在最后一节。
互不相通的认证域
人、现场节点、运营后台与对外集成各走各的凭证，互相拿不到对方的接口。 管理工作台只消费面向用户的那一组接口。
- 管理工作台
- 登录后签发 JWT，前端只持有这一个凭证，所有业务请求带 Bearer 头。会话失效时统一回到登录页。
- 门禁节点
- 现场节点用自己的凭证接入，与人的账号完全分开，拿不到管理接口。
- 对外集成
- 第三方业务系统用管理员签发的独立凭证访问开放接口，每把凭证按细分权限与数据范围授权，可设有效期与 IP 白名单；AI 助手经 MCP 访问时，按密钥所绑定那个人的权限与管理范围执行。
- 默认拒绝
- 各认证域按路径前缀分流，没有落进任何一个域的请求一律拒绝 —— 新增接口必须显式声明归属，忘了配就是访问不了，而不是默认放行。
面向人的页面里，不需要登录的只有这几处
其余业务页面全部要求认证。把它们逐条列出来，是因为「哪些东西不用登录就能碰」 本身就该是可核对的。现场设备与集成走各自的凭证，见上一节。
- 登录与注册开通
- 登录页、统一身份认证的登录回调，以及 SaaS 的注册开通表单。注册开通会创建一个新的空租户和首位管理员，读不到其他租户的任何数据。
- 访客通行码落地页
- 凭证就是链接里的一次性 token。访客不是系统用户、不进正式人员库，页面只返回这次来访必需的信息；有效期、开门次数与房间范围三者共同约束。
- 试用申请
- 只写一张线索表：姓名、联系方式、机构与场景。它不创建账号、不创建租户，也读不到系统里的任何数据。要真的开一个租户走注册开通那条路，两者互不关联。按来源做了提交频率限制。
- 服务健康与版本信息
- 供运维探活，不含任何业务数据。
六条贯穿全站的规则
管理权与开门权分离
能给别人发授权，不等于自己能刷开这扇门。两者需要分别授予，界面在管理范围页、批量授权页与远程开门弹窗上都写明这条区分。
判定只有一个口径
后台的「授权检查」和现场扫码开门走同一段判定逻辑：时间窗 → 下发状态 → 例外日 → 星期与时段。避免运维在后台看到「可通行」而人在现场刷不开。
收回继承来的授权，也留在来源链路里
角色组带来的权限不能在授权列表里直接删掉。要收回，可以转为个人授权后单独调整、在角色组里为这名成员加房间例外，或者调整角色组策略本身 —— 每一种做法都能在来源链路里看到，授权状态始终解释得清。
角色化的可见性
同一能力在导航、页面按钮、命令面板与快捷键里的可见性保持一致。越权路由重定向回工作台，不给 403 白屏，也不留下能点但没反应的入口。
破坏性操作可还原
可逆的破坏性操作提供撤销；涉及多人的操作在提交前展示影响摘要（将影响 N 名成员）。归档类操作可恢复。
操作留痕
授权变更、设备控制等管理操作写入操作审计，可按操作人、类型、时间范围筛选并导出 CSV；审批决定记在申请本身，访客邀请的发送记在邀请记录里。
- SaaS：数据在独立租户里
- 工作台在 app.jylock.cn。每个机构是一个租户，人员、部门、区域、房间、设备与授权只属于这个租户；所有业务数据都带租户标识，读取由持久层按当前租户自动过滤、写入自动填充，每个请求只在一个租户内读写。托管位置与备份策略签约前提供具体说明。
- 私有化：数据在机构自己的服务器上
- 单节点部署在机构自己的服务器或专属云上。门禁数据、人员授权与日志都存在这套部署自己的数据库里，不出机构网络；JWT 密钥、数据库口令等凭据走环境变量，不进代码仓库。部署脚本包含数据库定时备份与日志轮转。
- 现场设备
- 两种形态下，门禁控制器都经现场的 Edge Agent 接入。它用自己的凭证主动向外连接，现场网络不需要为门禁开放入向端口。
- 身份来源
- 从身份数据源同步来的人员在系统里只读，不改名、不删除、不重置密码。目前已实现的身份来源与单点登录范围见接入与兼容页。
还没有的东西，写在这里
采购一套门禁系统时，「它还不能做什么」比「它能做什么」更需要提前知道。
本页不宣称任何第三方安全认证或合规资质 —— 系统没有取得过，也不该由官网替机构承诺。
单点登录目前只对接了一种高校统一身份认证：需要先为机构开通对应集成，再由租户在登录设置里启用。CAS、通用 OIDC、SAML 等协议尚未实现；用户名与密码登录始终保留。
当前版本按单节点部署设计，多节点、集群与故障时的自动切换不在已交付范围内。
申请与审批的通知只有站内通知与邮件，访客邀请只发邮件；告警另可推送到企业微信群机器人，需由实施人员配置。短信通道尚未实现。
关于安全与权限
- SaaS 版的门禁数据存放在哪里？
- SaaS 版的工作台在 app.jylock.cn，每个机构的数据在自己的独立租户里，所有业务数据带租户标识并由持久层按租户自动过滤。托管位置与备份策略签约前提供具体说明。
- 私有化部署的数据会离开机构网络吗？
- 私有化部署运行在机构自己的服务器或专属云上，门禁数据、人员授权与日志都存在这套部署自己的数据库里，不出机构网络。如果对接外部身份平台或邮件服务，对接涉及的数据流按方案逐项确认。
- 今约锁支持单点登录吗？
- 目前只对接了一种高校统一身份认证的单点登录，需要先为机构开通对应集成，再由租户在登录设置里启用。CAS、通用 OIDC、SAML 等协议尚未实现，用户名与密码登录始终保留。
- 能给别人发授权的人，自己就能开这扇门吗？
- 不能。管理权与开门权需要分别授予，界面在管理范围页、批量授权页与远程开门弹窗上都写明这条区分。
- 今约锁有第三方安全认证吗？
- 没有。官网不宣称任何第三方安全认证或合规资质。