安全与多租户 ​

平台把认证、授权、租户隔离和业务规则分开。身份信息必须来自验证后的令牌、服务身份或受信任委托链，不能直接相信请求体中的 tenantId、userId 或 agentId。

授权模型 ​

策略决策输入包含主体、租户、委托、资源、动作、上下文和模型版本。输出包含允许/拒绝、字段掩码、实例过滤、关系深度、资源预算和决策 ID。

执行点 ​

• API/MCP 入口：验证令牌、租户状态、工具可见性和基础限流。
• Runtime：执行实例过滤、字段投影、关系约束和查询预算。
• Action：二次授权、业务规则、审批要求和执行前复验。
• Integration：限制连接器、数据源、操作类型和凭据作用域。
• Control Plane：限制管理操作、订阅能力和配额变更。

列表查询不能逐条远程鉴权。策略需要生成可下推谓词、允许对象集合或预计算关系索引；不能安全批量执行时应拒绝高风险查询。

多租户隔离档位 ​

所有档位都必须在表、缓存键、对象路径、消息主题、指标标签和日志访问中携带租户边界。共享模型时共享版本化模板，不共享数据源凭据和实例数据。

凭据与密钥 ​

连接器凭据保存在密钥管理系统，服务只获取最小权限和短期凭据。凭据不写入模型快照、日志、事件或证据正文。轮换后缓存和连接池需要失效，所有读取都记录租户、连接器和凭据版本引用。

审计要求 ​

模型发布、策略变更、连接器配置、凭据引用、审批、Action 和计费配置属于高价值审计事件。审计记录只追加、可校验完整性，并与普通调试日志分开设置访问和保留策略。