项目点：责任、证据与追问

模拟目标清单。以下能力只有实现并能演示后，才能改写为“负责/实现”。设计文档不等于生产交付，教程复现应注明。

1. 简历保留哪些点

针对 1–3 年社招，一段项目通常保留 3–5 个最能解释清楚的点。两个项目是同一模拟业务的两个阶段；不必为了显得高级，把所有安全协议和基础设施塞进简历。

ID	业务问题与实现目标	必须提供的证据	可测指标（当前待测）	高频追问
A1	两个应用重复登录；复用 IdP，接入授权码 + PKCE 与 BFF 会话	登录时序、回调反例、两个应用演示	登录成功率、回调错误分类	state、nonce、PKCE 分别防什么？
A2	多租户资源隔离；issuer/sub 映射与服务端成员校验	越租户集成测试、查询条件、唯一约束	测试矩阵覆盖与拒绝原因	token 有 tenant claim 就够了吗？
A3	刷新并发冲突；按会话协调刷新并做版本校验	多实例竞争测试、旧响应覆盖反例	重复刷新数、冲突数、失效恢复耗时	锁过期时旧请求回来了怎么办？
A4	退出后残留访问；会话注销、事件幂等与撤权窗口	两应用注销测试、丢事件/重放测试	会话失效延迟、旧 token 最长接受窗口	JWT 为什么仍能通过验签？
B1	Agent 越权代办；主体、执行应用、委托约束联合校验	伪造身份和撤权测试、策略决策日志	拒绝分类、授权校验耗时	应用令牌和用户委托差异？
B2	凭证暴露与 audience 混用；凭证代理和受众限制	适配器兼容矩阵、脱敏检查、错受众反例	凭证获取失败率、轮换恢复时间	换 token 是否天然缩权？
B3	审批后动作被修改；绑定参数摘要及版本并复核	改参、过期、撤权和竞争用例	审批失配次数、拒绝延迟	检查与执行之间仍撤权怎么办？
B4	工具重试重复写；持久幂等键和 UNKNOWN 对账	并发/丢响应测试、唯一约束、查询恢复记录	重复写入数、不确定操作积压	外部服务不支持幂等怎么办？
B5	故障难定位；关联用户、actor、grant、task、operation	一条脱敏完整调用链、泄密检测	审计缺失数、定位时长测量	日志里能否直接记 access token？

2. 可替换的简历句式

下面每句均为完成后才能使用的模板，括号处填真实实现；未完成时改为“设计/计划验证”。

• A1：基于成熟 IdP 接入两个业务应用的 OIDC 登录，负责回调校验与服务端会话管理，补充 state、PKCE 和错误 audience 的异常场景测试。
• A2：实现基于租户成员关系的资源访问校验，使用 issuer/subject 唯一映射身份，覆盖跨租户资源 ID 替换与权限变更场景。
• A3/A4：处理多实例会话刷新竞争与注销事件重放，结合版本校验、幂等处理及撤权检查明确会话和令牌失效边界。
• B1/B2：实现 Agent 工具访问网关，将用户委托、执行应用与资源权限纳入服务端授权校验，通过凭证代理隔离运行器与下游敏感令牌。
• B3：为工单写入引入人工审批，绑定动作参数、资源与授权版本，并在执行前复核权限，阻止改参和已撤权任务继续执行。
• B4/B5：基于数据库唯一约束实现工具操作幂等，为响应丢失建立查询对账路径，并通过 task_id/operation_id 关联审计与执行结果。

3. 指标怎么写才可信

没有测量就不写收益比例。功能结果也有价值，例如“覆盖跨租户、错受众、撤权后执行等安全反例”，但要列出真实测试清单。

测量记录至少包含：代码版本、依赖版本、机器资源、样本规模、并发、持续时间、预热方式、依赖是真实还是桩、成功判定。记录基线与改进后的同口径结果，不把不同硬件或不同负载的结果比较。

指标模板：在【环境】以【并发/样本】测试【具体链路】，P95 为【实测】、错误率为【实测】，瓶颈位于【证据】。短时压测不能推导全年可用性；测试中未发生越权也不能证明系统绝对安全。

4. 责任边界怎么说

能诚实证明的状态	推荐表述
只有本专题设计文档	调研并设计了……，实现与验证尚未完成
本地实现并有测试	独立完成个人项目中的……，本地验证了……
基于教程复现并修改	基于公开教程复现……，自行增加……及其测试
真实团队工作	在团队中负责……模块，与……协作；只写自己能解释的贡献
真实上线并有监控记录	补充真实发布范围、时间与同口径指标，不泄露公司机密

5. 投递前验收

• 每个“实现”能定位到代码，每个“验证”能定位到测试，每个数字有原始记录。
• 能从一次登录讲到业务授权，再讲到 Agent 代表用户调用工具。
• 能解释至少一个失败路径和一个方案取舍，而不是只画正常时序。
• 能明确哪些由 Keycloak/Spring 完成，哪些是自己的业务代码。
• 不将知识网站、离线工具桩或模拟方案包装成企业生产系统。

下一步：两版简历模板。