接入新产品

在测试台点本步的 Product Create 标签，按下面的值填表（id 用前面步骤返回的），点 Send request。

填表的值：

{
  "request_ref": "create-bim",
  "code": "bim",
  "scope_level": "project",
  "display_name": "BIM"
}

返回：

{
  "product_id": "b41d9a70-6c2e-4a0f-8e7d-52a9c3f0d614",
  "code": "bim",
  "scope_level": "project",
  "sellable": true,
  "display_name": "BIM",
  "status": "active",
  "version": 0
}

• code：小写字母开头，只用小写字母、数字和 _.-，登记后不再改。
• scope_level：按租户（tenant）卖写 tenant，按项目（project）卖写 project；project 的产品只能在项目里进入，角色和开通记录（entitlement）也按项目算。
• status 不写时是 active；写成 inactive 的产品要先用 product.set-status 改成 active 才能登录。

错误：

在测试台点本步的 Client Register 标签，按下面的值填表（id 用前面步骤返回的），点 Send request。

填表的值：

{
  "request_ref": "register-bim-web",
  "client_id": "bim-web",
  "product_id": "b41d9a70-6c2e-4a0f-8e7d-52a9c3f0d614",
  "deployment_version": "v1",
  "display_name": "BIM",
  "kind": "confidential_web",
  "auth_method": "client_secret_basic",
  "redirect_uris": [
    "https://bim.example.com/login/oauth2/code/bes",
    "https://bim.example.com/tenant/chosen"
  ],
  "post_logout_redirect_uris": [
    "https://bim.example.com/"
  ],
  "scopes": [
    "openid",
    "profile",
    "email"
  ],
  "token_profile": "web",
  "dpop_required": false
}

返回：

{
  "client_id": "bim-web",
  "display_name": "BIM",
  "kind": "confidential_web",
  "auth_method": "client_secret_basic",
  "redirect_uris": [
    "https://bim.example.com/login/oauth2/code/bes",
    "https://bim.example.com/tenant/chosen"
  ],
  "post_logout_redirect_uris": [
    "https://bim.example.com/"
  ],
  "backchannel_logout_uri": null,
  "scopes": [
    "openid",
    "profile",
    "email"
  ],
  "dpop_required": false,
  "token_profile": "web",
  "service_account_id": null,
  "status": "pending",
  "version": 0,
  "product_id": "b41d9a70-6c2e-4a0f-8e7d-52a9c3f0d614",
  "public_key_jwk": null,
  "deployment_version": "v1",
  "client_secret": "<client_secret>"
}

登录客户端的取值：

• redirect_uris、post_logout_redirect_uris：程序实际用的 HTTPS 地址，逐字符一致，包括路径和结尾的斜杠。
• scopes：从 openid、profile、email 里选，必须有 openid。
• client_secret 只在这次返回里出现，放进部署的密钥存储。
• 返回的 status 是 pending，下一步启用。

错误：

在测试台点本步的 Client Set Status 标签，按下面的值填表（id 用前面步骤返回的），点 Send request。

填表的值：

{
  "client_id": "bim-web",
  "request_ref": "activate-bim-web",
  "product_id": "b41d9a70-6c2e-4a0f-8e7d-52a9c3f0d614",
  "status": "active"
}

返回：

{
  "client_id": "bim-web",
  "display_name": "BIM",
  "kind": "confidential_web",
  "auth_method": "client_secret_basic",
  "redirect_uris": [
    "https://bim.example.com/login/oauth2/code/bes",
    "https://bim.example.com/tenant/chosen"
  ],
  "post_logout_redirect_uris": [
    "https://bim.example.com/"
  ],
  "backchannel_logout_uri": null,
  "scopes": [
    "openid",
    "profile",
    "email"
  ],
  "dpop_required": false,
  "token_profile": "web",
  "service_account_id": null,
  "status": "active",
  "version": 1,
  "product_id": "b41d9a70-6c2e-4a0f-8e7d-52a9c3f0d614",
  "public_key_jwk": null,
  "deployment_version": "v1"
}

在测试台点本步的 Service Account Create 标签，按下面的值填表（id 用前面步骤返回的），点 Send request。

填表的值：

{
  "request_ref": "create-bim-server-account",
  "product_id": "b41d9a70-6c2e-4a0f-8e7d-52a9c3f0d614",
  "display_name": "BIM server"
}

返回：

{
  "service_account_id": "9d2c4b7e-1f35-4a68-b0c9-6e8a3f5d2c17",
  "registered_client_id": "svc-9d2c4b7e-1f35-4a68-b0c9-6e8a3f5d2c17",
  "display_name": "BIM server",
  "certificate_fingerprint": null,
  "not_before": null,
  "not_after": null,
  "previous_fingerprint": null,
  "previous_fingerprint_valid_until": null,
  "status": "pending",
  "version": 0,
  "product_id": "b41d9a70-6c2e-4a0f-8e7d-52a9c3f0d614",
  "control_role_id": "2e7f9a04-5c1b-4d83-a6f2-0b9c8d7e1a35",
  "role_id": "c58a1d63-9f02-47be-8e14-3a6d5b0f7c29"
}

• 产品必须是 active。
• 服务账号带 Control 的 product-runtime 角色，只能调验证登录状态这一类接口，不能调管理接口。
• 返回的 status 是 pending，登记证书后再启用。

CERT_DIR="$HOME/bes-certs/bim"
mkdir -p "$CERT_DIR"
SERVICE_ACCOUNT_ID=9d2c4b7e-1f35-4a68-b0c9-6e8a3f5d2c17   # 换成上一步返回的 service_account_id
openssl req -new -newkey ec -pkeyopt ec_paramgen_curve:P-256 -nodes \
  -subj "/CN=BIM server" \
  -addext "subjectAltName=URI:urn:bes:service:$SERVICE_ACCOUNT_ID" \
  -addext "basicConstraints=critical,CA:FALSE" \
  -addext "keyUsage=critical,digitalSignature" \
  -addext "extendedKeyUsage=clientAuth" \
  -keyout "$CERT_DIR/bim-service-key.pem" -out "$CERT_DIR/bim-service.csr"

• 证书唯一的 URI SAN 是 urn:bes:service:<service_account_id>。
• 私钥 bim-service-key.pem 放进部署的密钥存储。

前提：OpenSSL 3.0 及以上，openssl version 显示 OpenSSL 3.x。Mac 自带的 /usr/bin/openssl 是 LibreSSL，不认 -copy_extensions：先执行 brew install openssl@3，再执行 export PATH="$(brew --prefix openssl@3)/bin:$PATH"。

CERT_DIR="$HOME/bes-certs/bim"
openssl x509 -in "$CERT_DIR/bim-service.pem" -outform DER | openssl dgst -sha256 | awk '{print $NF}'
openssl x509 -in "$CERT_DIR/bim-service.pem" -noout -startdate -enddate

• 第一行输出是 certificate_fingerprint：证书 DER 编码的 SHA-256，64 位十六进制。
• notBefore= 后的时间是 certificate_not_before，notAfter= 后的是 certificate_expires_at，改写成 RFC 3339 UTC，例如 Jan 1 08:00:00 2026 GMT 写成 2026-01-01T08:00:00Z。

在测试台点本步的 Service Account Register 标签，按下面的值填表（id 用前面步骤返回的），点 Send request。

填表的值：

{
  "service_account_id": "9d2c4b7e-1f35-4a68-b0c9-6e8a3f5d2c17",
  "request_ref": "register-bim-server-certificate",
  "product_id": "b41d9a70-6c2e-4a0f-8e7d-52a9c3f0d614",
  "display_name": "BIM server",
  "certificate_fingerprint": "<certificate_fingerprint>",
  "certificate_not_before": "2026-01-01T08:00:00Z",
  "certificate_expires_at": "2028-04-05T08:00:00Z"
}

返回：

{
  "service_account_id": "9d2c4b7e-1f35-4a68-b0c9-6e8a3f5d2c17",
  "registered_client_id": "svc-9d2c4b7e-1f35-4a68-b0c9-6e8a3f5d2c17",
  "display_name": "BIM server",
  "certificate_fingerprint": "<certificate_fingerprint>",
  "not_before": "2026-01-01T08:00:00+00:00",
  "not_after": "2028-04-05T08:00:00+00:00",
  "previous_fingerprint": null,
  "previous_fingerprint_valid_until": null,
  "status": "pending",
  "version": 1,
  "product_id": "b41d9a70-6c2e-4a0f-8e7d-52a9c3f0d614",
  "control_role_id": "2e7f9a04-5c1b-4d83-a6f2-0b9c8d7e1a35",
  "tenant_id": null,
  "project_id": null,
  "role_id": "c58a1d63-9f02-47be-8e14-3a6d5b0f7c29"
}

• product_id、display_name 与创建服务账号时相同。
• certificate_fingerprint、certificate_not_before、certificate_expires_at 取上一步算出的值。

错误：

在测试台点本步的 Service Account Set Status 标签，按下面的值填表（id 用前面步骤返回的），点 Send request。

填表的值：

{
  "service_account_id": "9d2c4b7e-1f35-4a68-b0c9-6e8a3f5d2c17",
  "request_ref": "activate-bim-server-account",
  "product_id": "b41d9a70-6c2e-4a0f-8e7d-52a9c3f0d614",
  "status": "active"
}

返回：

{
  "service_account_id": "9d2c4b7e-1f35-4a68-b0c9-6e8a3f5d2c17",
  "registered_client_id": "svc-9d2c4b7e-1f35-4a68-b0c9-6e8a3f5d2c17",
  "display_name": "BIM server",
  "certificate_fingerprint": "<certificate_fingerprint>",
  "not_before": "2026-01-01T08:00:00+00:00",
  "not_after": "2028-04-05T08:00:00+00:00",
  "previous_fingerprint": null,
  "previous_fingerprint_valid_until": null,
  "status": "active",
  "version": 2,
  "product_id": "b41d9a70-6c2e-4a0f-8e7d-52a9c3f0d614",
  "control_role_id": "2e7f9a04-5c1b-4d83-a6f2-0b9c8d7e1a35",
  "tenant_id": null,
  "project_id": null,
  "role_id": "c58a1d63-9f02-47be-8e14-3a6d5b0f7c29"
}

• 没登记证书或证书已过期时不能启用。
• status: disabled 停用账号；停用的账号不能再启用，要新建一个。

在测试台点本步的 Feature Register 标签，按下面的值填表（id 用前面步骤返回的），点 Send request。

填表的值：

{
  "product_id": "b41d9a70-6c2e-4a0f-8e7d-52a9c3f0d614",
  "deployment_version": "v1",
  "request_ref": "register-bim-features-v1",
  "features": [
    {
      "code": "document.read",
      "route_template": "/documents/{id}",
      "method": "GET",
      "risk": "low",
      "display_name": "Read documents"
    },
    {
      "code": "document.write",
      "route_template": "/documents",
      "method": "POST",
      "risk": "low",
      "display_name": "Write documents"
    },
    {
      "code": "payment.approve",
      "route_template": "/payments/{id}/approve",
      "method": "POST",
      "risk": "high",
      "display_name": "Approve payments"
    }
  ]
}

返回：

[
  {
    "feature_id": "0a5d8e3c-9b14-4f72-a6c1-e3b7d2f05948",
    "product_id": "b41d9a70-6c2e-4a0f-8e7d-52a9c3f0d614",
    "code": "document.read",
    "route_template": "/documents/{id}",
    "method": "GET",
    "risk": "low",
    "display_name": "Read documents",
    "deployment_version": "v1",
    "status": "active"
  },
  {
    "feature_id": "1b6e9f4d-a025-4083-b7d2-f4c8e3a16a59",
    "product_id": "b41d9a70-6c2e-4a0f-8e7d-52a9c3f0d614",
    "code": "document.write",
    "route_template": "/documents",
    "method": "POST",
    "risk": "low",
    "display_name": "Write documents",
    "deployment_version": "v1",
    "status": "active"
  },
  {
    "feature_id": "2c7fa05e-b136-4194-88e3-05d9f4b27b6a",
    "product_id": "b41d9a70-6c2e-4a0f-8e7d-52a9c3f0d614",
    "code": "payment.approve",
    "route_template": "/payments/{id}/approve",
    "method": "POST",
    "risk": "high",
    "display_name": "Approve payments",
    "deployment_version": "v1",
    "status": "active"
  }
]

• 一个功能是一组 method + route_template，code 登记后不再改。
• 每次调用替换这个 deployment_version 的整份清单，所以每次都发全部功能。
• risk: high 的路由，权限结果不走缓存。
• 程序验证时发的 deployment_version 下没有的路由，返回 TARGET_UNKNOWN。

在测试台点本步的 Role Define 标签，按下面的值填表（id 用前面步骤返回的），点 Send request。

填表的值：

{
  "product_id": "b41d9a70-6c2e-4a0f-8e7d-52a9c3f0d614",
  "code": "document-controller",
  "request_ref": "define-document-controller",
  "display_name": "Document controller",
  "feature_codes": [
    "document.read",
    "document.write"
  ]
}

返回：

{
  "role_id": "5c2f8a1d-6e93-4b07-8c4a-d1e6f3b92a75",
  "product_id": "b41d9a70-6c2e-4a0f-8e7d-52a9c3f0d614",
  "code": "document-controller",
  "display_name": "Document controller",
  "scope_level": "project",
  "feature_codes": [
    "document.read",
    "document.write"
  ],
  "status": "active",
  "tenant_id": null,
  "project_id": null,
  "version": 0
}

• 按 code 创建或整体替换一个角色。
• feature_codes 只能写本产品已登记且 active 的功能码。

错误：

• 返回 403，响应头 X-BES-Auth-Reason: access_denied，没有响应体：证书已通过（Control 认过证书后，因为没有用户令牌和租户而拒绝）。
• 返回 401，没有响应体（Control 的错误码 CALLER_AUTHENTICATION_FAILED）：证书不是登记的那张，或服务账号没启用。
• 地址：带证书的接口发到 https://id.test.globalbes.sg:9443，只带用户令牌的接口发到 https://id.test.globalbes.sg。
• 证书：TLS 客户端证书 bim-service.pem、私钥 bim-service-key.pem，用服务端 CA 验证 Control 的证书。
• 写操作：请求体带 request_ref，同一个 request_ref 重发返回第一次的结果。
• X-BES-Operator：可选，写代表哪个人操作的 person_id。
• 出错时返回 {"error": {"code": …, "reference": …, "message": …}}，程序按 code 分支。

GET https://id.test.globalbes.sg/authorize?response_type=code&client_id=bim-web&redirect_uri=https%3A%2F%2Fbim.example.com%2Flogin%2Foauth2%2Fcode%2Fbes&scope=openid%20profile%20email&state=<state>&nonce=<nonce>&code_challenge=<code_challenge>&code_challenge_method=S256

• 端点地址从 GET https://id.test.globalbes.sg/.well-known/openid-configuration 读。
• state、nonce 每次随机生成，存在用户会话里。
• code_challenge = BASE64URL(SHA256(code_verifier))，只支持 S256；以上参数缺一个就被拒。
• 回调收到 ?code=…&state=…；code 60 秒内有效，只能用一次。

POST https://id.test.globalbes.sg/oauth/token
Authorization: Basic <base64(client_id:client_secret)>
Content-Type: application/x-www-form-urlencoded

grant_type=authorization_code&code=<code>&code_verifier=<code_verifier>&redirect_uri=https%3A%2F%2Fbim.example.com%2Flogin%2Foauth2%2Fcode%2Fbes

HTTP/1.1 200 OK

{
  "access_token": "<access_token>",
  "id_token": "<id_token>",
  "refresh_token": "<refresh_token>",
  "token_type": "Bearer",
  "expires_in": 300,
  "scope": "openid profile email"
}

• access_token、refresh_token：存在服务端的用户会话里，浏览器只拿会话 cookie。
• access_token 有效 5 分钟。
• id_token 里的 sub 是这个人的 person_id，长期不变，用作关联自己用户数据的键。

程序里发这个请求（id 用前面步骤返回的）：

带：证书 + 用户的 access_token

请求：

POST https://id.test.globalbes.sg:9443/api/sessions/tenant-selection
Authorization: Bearer <access_token>
Content-Type: application/json

{
  "continue_url": "https://bim.example.com/tenant/chosen"
}

返回：

HTTP/1.1 201 Created

{
  "selection_id": "9c4e1b7a-2d58-4f3c-b6a0-e81d5f2c7a94",
  "selection_url": "/tenants?selection=9c4e1b7a-2d58-4f3c-b6a0-e81d5f2c7a94",
  "expires_at": "2026-01-01T08:05:00+00:00"
}

• continue_url 必须与登录客户端登记的 redirect_uris 或 post_logout_redirect_uris 之一完全一致。
• 把浏览器跳到 https://id.test.globalbes.sg + selection_url。
• 用户选好租户后，浏览器回到 https://bim.example.com/tenant/chosen?context_id=0f6b8d2e-4a17-4c93-9e5b-a1d27c4f3b68；把 context_id 按 UUID 解析后存进服务端会话。
• 回调带 error=login_required 时，重新登录再发起选择。
• 选择 5 分钟内有效；同一会话再发起一次会取消上一次。
• 切换租户：再调一次这个接口。

错误：

程序里发这个请求（id 用前面步骤返回的）：

带：证书 + 用户的 access_token

请求：

POST https://id.test.globalbes.sg:9443/api/sessions/validate
Authorization: Bearer <access_token>
Content-Type: application/json

{
  "context_id": "0f6b8d2e-4a17-4c93-9e5b-a1d27c4f3b68",
  "target": {
    "method": "GET",
    "path": "/documents/42",
    "deployment_version": "v1"
  }
}

返回：

HTTP/1.1 200 OK

{
  "context": "<signed bes-context+jwt>",
  "checked_at": "2026-01-01T08:00:00.123456+00:00",
  "hard_expiry": "2026-01-01T08:00:30.123456+00:00",
  "action": "document.read",
  "risk": "low"
}

• channel_assurance 说明身份怎么建立；是否按它限制动作由产品决定。
• 每个受保护的请求在业务代码之前调一次。
• target.method、target.path：程序收到的请求，不含查询串；deployment_version：登记功能清单时用的版本。
• 有 context_id 时发 context_id；没有时改发 target.tenant_id（项目级产品再加 target.project_id），两者不同时发。
• 平台级服务账号还要发 product_id。
• context 是 Control 签名的 JWT（ES256，类型 bes-context+jwt），用 https://id.test.globalbes.sg/.well-known/jwks.json 验证，aud 是本产品的 product_id。
• context 的 claim：sub（person_id）、tenant_id、project_id、action（本次请求对应的功能码）、risk、features（此人在这个范围的全部功能码）。
• 资源是否属于 tenant_id / project_id，程序自己核对。
• 同一用户、同一目标和动作可复用 context 到 hard_expiry（低风险 30 秒，高风险 5 秒）。
• Control 不可达、超时或返回 5xx 时拒绝请求。

错误：

POST https://id.test.globalbes.sg/oauth/token
Authorization: Basic <base64(client_id:client_secret)>
Content-Type: application/x-www-form-urlencoded

grant_type=refresh_token&refresh_token=<refresh_token>

• 返回新的 access_token 和 refresh_token，两个都存下。
• 每个 refresh_token 只能用一次；旧的再用一次，整个会话被撤销。同一会话的刷新要串行。
• 网页会话空闲 2 小时或总共 12 小时后结束，刷新也不延长。

程序里发这个请求（id 用前面步骤返回的）：

带：证书 + 用户的 access_token

请求：

POST https://id.test.globalbes.sg:9443/api/sessions/step-up
Authorization: Bearer <access_token>
Content-Type: application/json

{
  "request_ref": "payment-7731-approve",
  "purpose": "remote_action",
  "action_digest": "n4bQgYhMfWWaL+qgxVrQFaO/TxsrC4Is0V1sFbDwCgg=",
  "context_id": "0f6b8d2e-4a17-4c93-9e5b-a1d27c4f3b68"
}

返回：

HTTP/1.1 201 Created

{
  "challenge_id": "d3a61f08-9b2c-4e75-8f04-6c1e7a5b2d39",
  "completion_url": "/step-up?challenge=d3a61f08-9b2c-4e75-8f04-6c1e7a5b2d39",
  "expires_at": "2026-01-01T08:05:00+00:00"
}

• action_digest：动作规范描述的 SHA-256，标准 base64，例如对 approve-payment|7731|12500.00|SGD 计算。
• request_ref：原请求的编号；同一个 request_ref 重发返回同一个 challenge。
• 把浏览器跳到 https://id.test.globalbes.sg + completion_url；确认页不跳回，程序页面保持打开，用户回来后点「继续」。

程序里发这个请求（id 用前面步骤返回的）：

带：证书 + 用户的 access_token

请求：

POST https://id.test.globalbes.sg:9443/api/sessions/step-up/consume
Authorization: Bearer <access_token>
Content-Type: application/json

{
  "request_ref": "payment-7731-approve",
  "challenge_id": "d3a61f08-9b2c-4e75-8f04-6c1e7a5b2d39",
  "action_digest": "n4bQgYhMfWWaL+qgxVrQFaO/TxsrC4Is0V1sFbDwCgg="
}

返回：

HTTP/1.1 200 OK

{
  "permit_id": "a8f2c6d1-5e39-4b07-9d4c-2f7b1e6a3c85",
  "challenge_id": "d3a61f08-9b2c-4e75-8f04-6c1e7a5b2d39",
  "purpose": "remote_action",
  "action_digest": "n4bQgYhMfWWaL+qgxVrQFaO/TxsrC4Is0V1sFbDwCgg=",
  "assurance": "password",
  "amr": [
    "pwd"
  ],
  "authenticated_at": "2026-01-01T08:01:10+00:00",
  "issued_at": "2026-01-01T08:01:12+00:00",
  "expires_at": "2026-01-01T08:01:17+00:00"
}

• request_ref、action_digest 与发起时相同；action_digest 按即将修改的数据重新计算。
• 紧挨着执行动作之前调用。
• 在执行动作的同一个数据库事务里：核对 expires_at 未到、action_digest 等于本次动作的摘要，把 permit_id 插进有唯一约束的表，一个许可只做一次动作。
• 重复调用返回同一个许可。

错误：

程序里发这个请求（id 用前面步骤返回的）：

带：用户的 access_token

请求：

POST https://id.test.globalbes.sg/api/sessions/logout
Authorization: Bearer <access_token>
Content-Type: application/json

{
  "login_scope": "product"
}

返回：

HTTP/1.1 204 No Content

• login_scope: product（默认）登出本产品所有登录客户端，client 只登出这一个。
• 先调这个接口，再清掉自己的会话。
• access_token 过期时先刷新；刷新不了就直接做下一步。
• 登录客户端登记了 backchannel_logout_uri 时，别处结束会话后 Control 向它 POST 签名的 logout_token（表单字段，claim sid）；收到后结束这个 sid 的本地会话。

GET https://id.test.globalbes.sg/end_session?client_id=bim-web&post_logout_redirect_uri=https%3A%2F%2Fbim.example.com%2F&state=<state>

• BES 显示确认页，然后回到 post_logout_redirect_uri；这个地址必须登记在登录客户端上，逐字符一致。

没有接口：写进 Control 部署配置的 event_consumers（环境变量 BES_CONTROL_EVENT_CONSUMERS），JSON 对象，键是接收方名字：

{
  "bim": {
    "endpoint": "https://bim.example.com/bes/events",
    "audience": "bim-api",
    "event_types": [
      "membership.revoked",
      "role_assignment.changed"
    ]
  }
}

• event_types 取契约仓 events/control/ 下的事件名：membership.revoked、role.changed、role_assignment.changed、entitlement.changed、person.status_changed 等。

Control 每个事件发一个请求：

POST https://bim.example.com/bes/events
Content-Type: application/jwt
Idempotency-Key: 3e9a7c51-0b46-4d2f-9e83-a1c5f7d2b064

<event_jws>

• 请求体是 ES256 签名的 JWT，类型 bes-event+jwt，用 https://id.test.globalbes.sg/.well-known/jwks.json 验证；aud 是登记的 audience，5 分钟后过期。
• claim 是 common/event-envelope.json 的信封：event_id、event_type、aggregate_type、aggregate_id、tenant_id、product_id、sequence、occurred_at、trace_id、payload。
• 先按 event_id（主键）存下再回 2xx，之后从自己的表里处理；重复投递按 event_id 去重。
• 同一接收方的事件严格按顺序到达。没回 2xx 时 Control 从 30 秒起重试到 24 小时、共 10 次；之后这次投递保持失败，后面的事件都停住。

• 在产品的用户菜单里加「Account settings」链接，在新标签页或约 560×760 的小窗口打开 https://id.test.globalbes.sg/account。
• 不能放进 iframe：BES 页面拒绝被嵌入。
• 密码、两步验证、恢复码、已登录的浏览器、手机和邮箱、语言都在那里管理，产品不做这些页面。
• 用户菜单只留：当前用户、切换公司（session.tenant-selection-start）、Account settings、登出（end_session）。

使用 feature.register 提交完整目录，保留原有功能，并加入 {code: assistant.chat, method: POST, route_template: /assistant/chat, risk: low, display_name: Assistant chat}。deployment_version 必须与挂件 validate 的 target 一致。 为宿主登记唯一有效的产品服务客户端，配置其部署版本和可委托的业务 scopes。Assistant 委托 scope 不能超出此客户端登记值或人员当前功能权限。 Assistant 授权参数 host_product_id 指向本产品，用户须先登录本产品；普通产品调用 session.validate / tenant-list 不传 product_id。 产品退出关闭本产品的 product_login；Control 挂件绑定检查状态与 generation，因此同一 SSO 的重新登录也不能恢复旧挂件 sid。