auth

type AccessTokenClaims struct {
	CommonClaims

	// ClientID 是获得该 Access Token 的 OAuth 2.0 客户端标识。
	// 按 RFC 9068 Profile 签发时必须设置。
	ClientID string `json:"client_id,omitempty"`
	// Scope 是本 Access Token 获得授权的 OAuth 2.0 scope 集合。
	// 按 RFC 9068，存在 scope 时编码为空格分隔的字符串。
	Scope string `json:"scope,omitempty"`
}

type Client struct {
	// contains filtered or unexported fields
}

type CommonClaims struct {
	jwt.RegisteredClaims

	// Email 用户邮箱。
	Email string `json:"email,omitempty"`
	// EmailVerified 邮箱是否已验证。
	EmailVerified bool `json:"email_verified,omitempty"`
	// Name 用户全名，展示用。
	Name string `json:"name,omitempty"`
	// PreferredUsername OIDC 标准用户名。新 token 使用该字段，不再签发自定义 username。
	PreferredUsername string `json:"preferred_username,omitempty"`
	// Nickname 昵称。
	Nickname string `json:"nickname,omitempty"`

	// Tenant 租户标识，对应 lion_tenants 中 code 编码。
	Tenant string `json:"tenant,omitempty"`
	// Groups 是可选的用户组编码列表，对应 lion_groups.code。
	// 仅在客户端明确需要组映射时签发。
	Groups []string `json:"groups,omitempty"`
	// Roles 是用户在当前 tenant 下的可选角色编码列表，
	// 对应 lion_roles.code。
	// 仅在客户端明确需要角色映射时签发。
	Roles []string `json:"roles,omitempty"`

	// FederatedClaims 联邦身份声明，如 {"connector_id":"..."}。预留未使用。
	FederatedClaims map[string]string `json:"federated_claims,omitempty"`
	// Deprecated: 历史应用标识字段。
	// 新签发的 ID Token 使用 azp，新签发的 Access Token 使用 client_id。
	// 仅用于兼容解析旧 Token，禁止在新 Token 中签发。
	Appid string `json:"appid,omitempty"`
	// Deprecated: 历史自定义用户名字段。
	// Username 历史自定义字段，仅用于解析旧 token，禁止新 token 签发。
	Username string `json:"username,omitempty"`
}

type Config struct {
	PackageName string
	Partition   string // GRN partition 段，默认 "grpc-kit"（详见 docs/spec/grn.md）
	OPASDK      *OPASDKConfig
	OPARego     *OPARegoConfig
	OPAEnvoy    *OPAEnvoyPluginConfig
}

type GRN struct {
	Partition string
	Service   string
	Region    string
	Account   string
	Resource  string
}

type IDTokenClaims struct {
	CommonClaims

	// Nonce 防重放随机值，由客户端在认证请求中下发并回显。
	Nonce string `json:"nonce,omitempty"`
	// AuthorizedParty 授权方 client_id，语义等价于 Appid。
	AuthorizedParty string `json:"azp,omitempty"`
	// 用户原始认证发生时间。
	AuthTime *jwt.NumericDate `json:"auth_time,omitempty"`
	// ACR 认证上下文等级（Authentication Context Class Reference）。
	ACR string `json:"acr,omitempty"`
	// AMR 认证方式列表（Authentication Methods References），如 ["pwd","otp"]。
	AMR []string `json:"amr,omitempty"`
	// AtHash Access Token 哈希，用于与 access_token 绑定校验。
	AtHash string `json:"at_hash,omitempty"`
	// CHash Authorization Code 哈希，用于与 code 绑定校验。
	CHash string `json:"c_hash,omitempty"`
}

type OPAEnvoyPluginConfig struct {
	GRPCAddress string
}

type OPARegoConfig struct {
	RegoBody []byte
	DataBody []byte
	// DataProviderFunc 动态数据提供函数，优先级高于 DataBody。
	// 若函数返回空或错误，则降级到 DataBody；DataBody 也为空时使用框架内置默认规则。
	DataProviderFunc func(ctx context.Context) ([]byte, error)
}

type OPASDKConfig struct {
	Config string
}