xsl
6c77ff4989
POST /auth/huawei：JWKS 验签（kid 缓存/轮换）+ claims 严格校验 + UnionID 映射 + T4 双令牌签发（FR-ACC-01；真实联调待 AGC 配置）。 - packages/identity/huawei.py（新建）：HuaweiIdTokenVerifier——RS256 验签， JWKS 内存缓存（TTL 可配 + 单调钟；kid 未命中强制刷新一次重试，锁内用 拉取代数防止强制刷新被新鲜缓存短路）；aud/iss/exp/iat 全查，audience 空配置直接拒绝而非跳过；union_id 缺失拒绝（降级 open_id 策略不做， 留联调期决定）；错误映射 40102/40101/60000，无新错误码。 HuaweiLoginRequest/HuaweiClaims 一并定义于此，未动 schemas.py。 - apps/api/routers/auth.py：追加 /huawei 端点；get_huawei_verifier 依赖 建于路由模块内（缓存到 app.state，可预注入替换），未动 deps.py； 复用 T4 的 get_or_create_by_external_identity + issue_session + TokenPairResponse 与既有 _token_pair/_access_token。 - tests/unit/test_huawei_verifier.py：cryptography 自造 RSA + 本地 JWKS （零外网），19 例覆盖合法 claims/错误签名/过期/aud/iss/iat 缺失/ audience 未配置/union_id 缺失/HS256 混淆/JWKS 拉取失败/kid 轮换/缓存 TTL。 - tests/integration/test_auth_huawei.py：FakeFetcher 预注入 app.state， 真实 PG 验证首次建用户 + 双令牌、同 union_id 复登同 user_id、新 access 调 /quota、refresh 可轮换、伪造 token 40102。 检查：ruff/format/mypy（T6 列表）/lint-imports 全绿；单测 257 passed （基线 238 + 新增 19）；集成 18 passed（含新增 2）。 偏差说明：无
packages/ — 业务域与能力包
架构 §3.2：单体不等于混乱。这里的每个子目录都是一个边界，越界会被 CI 拦下。
目录含义
| 包 | 类型 | 内容 |
|---|---|---|
domain/ |
纯逻辑层 | 领域模型与业务规则。无 IO、无框架、可纯单测 |
shared/ |
基础设施 | 配置、日志、错误码、统一响应、DB、Redis、可观测 |
llm/ |
AI 能力 | LLM 网关（已实现） |
retrieval/ rules/ memory/ |
AI 能力 | 混合检索 / 规则引擎 / 记忆系统（占位） |
compliance/ |
业务域 | 统一合规出口（占位，CR-05/CR-06） |
identity/ billing/ task/ agent/ |
业务域 | 已有实现 |
profile/ report/ tryon/ kb/ notify/ wardrobe/ |
业务域 | 占位 |
每个业务域包的标准结构：
packages/<域>/
├─ __init__.py
├─ README.md 这个域负责什么、不负责什么
├─ service.py 对外唯一入口。其他域只能调这里
└─ repo.py SQL。只有本域可以 import
硬性规则（由 make importlint 机器校验）
- 禁止跨域直接查表。要用别的域的数据，调它的
service，不要 import 它的repo，更不要在自己的 SQL 里 JOIN 别人的表。表名的域前缀（id_/bl_/tk_/ …）就是为将来拆库预留的边界。 packages/domain/必须保持纯净。不许 importfastapi、sqlalchemy、httpx、redis、celery，也不许 importpackages/shared。放不进去说明 它不是领域逻辑，是应用逻辑，应该待在service.py。compliance不得依赖任何业务域。它必须能被任何模块安全调用。identity不得依赖任何其他业务域。登录链路不能被业务拖累。- AI 能力包（
llm/retrieval/rules）不得依赖业务域，也不得 importapps。它们要能在 V2 原样拆成独立服务。
加一个新业务域时
- 建目录，写
README.md说明职责与不负责的事。 - 在
pyproject.toml的[tool.importlinter]契约里把它加进相应的layers/forbidden_modules列表 —— 新域默认没有约束，忘了加就等于没有边界。 - 领域规则先写进
packages/domain/<域>/并配单测，再写service.py。 - 表加域前缀，走 Alembic，迁移必须向后兼容（NFR-MAINT-06）。