baiyue-firstleg/iam/AGENTS.md

IAM Service 模块指引

职责与边界

• 负责客户主档、成员、企业资料/审核、平台用户、角色权限、数据范围和授权快照。
• 账号凭据/Token 属于 auth/，文件内容属于 file/；资质登记只接收 File 的内部元数据调用。
• 当前仅“平台—客户”两级：iam_tenant.id=0 为平台作用域，id>0 为客户主档；不得新增真实租户层。

模块入口

目标	入口
客户资料/审核	controller/PlatformTenantController.java、service/TenantService.java
商户成员与个人资料	controller/MerchantTenantController.java、service/MemberService.java、service/PersonalProfileService.java
平台用户	controller/PlatformUserManagementController.java、service/PlatformUserManagementService.java
角色/权限/RBAC	controller/RbacController.java、service/RbacService.java
授权快照/内部资格	controller/AuthorizationController.java、InternalAuthorizationController.java、service/AuthorizationSnapshotService.java
File 资质元数据协作	controller/InternalTenantController.java、service/ProfileResourceService.java、client/AuthAccountClient.java
DTO/持久化	dto/、entity/、mapper/、repository/
SQL/OpenAPI	src/main/resources/db/、src/main/resources/openapi/iam-v1.yaml
测试/验证	src/test/java/com/baiyue/iam/；mvn -pl iam -am test

修改约束

• 所有客户查询按 tenant_id 过滤；平台用户只能 tenant_id=0。必填资质审核通过才具备下单资格。
• 成员/账号跨 IAM/Auth 保持幂等补偿；资质跨 IAM/File 不保存文件内容。
• 权限资源 code/type 不可变；按钮隐藏不能替代后端权限校验。

分期导航

• 一期：客户建档审核、平台用户与 RBAC、企业资料；先读 ../../docs/一期/README.md。
• 二期：仅提供客户资格/授权快照，不承载入库或计费状态；先读 ../../docs/二期/README.md。
• 三期：按最小权限为操作员、拣货员、理货员落地已确认的角色与权限；先读 ../../docs/三期/三期开工门禁.md。具体权限码与授权快照须先随服务端契约冻结，不自行扩展租户层级或客户可见范围。