ADR-0076：共享本机 SQLite 操作权与稳定 Identity Credential 认证

状态：Proposed（认证增量已实现，provisioning/首 Owner 由 ADR-0077 补齐）
日期：2026-07-20
关联 RFC：QL-RFC-0001 D-62、D-66、D-73、D-74、D-75
关联 ADR：ADR-0049、ADR-0050、ADR-0063、ADR-0074、ADR-0075、ADR-0077、ADR-0078

上下文

ADR-0075 要求首 Owner 的 subject 必须来自稳定 Identity authenticator，而不是 CLI/HTTP/UI 传入的 userId、username 或 JWT payload。现有本机 3.0 数据库只有 Run、执行、Secret、Project/Policy 与 audit 事实；cluster 已有通用 API credential contract，但本机没有稳定 Identity/credential catalog，也没有真实认证器。

同时，原 LocalSqliteRunRepository 自己持有 DatabaseSync、串行队列和 close fence。若 Identity repository 再开连接，会破坏 edge/standalone 的单连接资源边界；若把 Identity 查询继续塞进 Run repository，又会把它扩张为跨领域 god repository。

决策

1. 抽出唯一 SQLite Operation Authority，不扩张 Run Repository

新增 LocalSqliteOperationAuthority，唯一拥有 DatabaseSync、最多 256 个 pending operation 的串行队列、acceptance fence 与 idempotent close。Run、API credential 及后续 bootstrap repository 只能在其上提交短操作，不能自行取得 client、开启第二连接或建立旁路队列。

各 repository 保留自己的领域错误映射；共享 authority 只提供调度、关闭和资源所有权，不成为包含所有 SQL 的 god object。runtime close 等待已接收操作完成，关闭后所有 repository 一致 fail closed。

2. capability v6 增加 ownerless Identity 与 append-only credential

0011-local-identity-credential 增加：

QingLong3IdentitySubjects：稳定 (subject_type, subject_id)、active|disabled、version 与时间事实；
QingLong3ApiCredentials：append-only (credential_id, version)、active|revoked、subject 外键、domain-separated secret digest 和有效期。

0012-capability-v6 声明 local_identity 与 local_api_credential。migration、manifest、typed schema、readiness 与真实 catalog 必须 lockstep。migration 不创建 Identity、credential、Owner 或默认密码；空库迁移后仍不可认证、仍保持 ownerless。

3. 本机 authenticator 复用 Runtime Kernel contract

独立 @qinglong/local-identity 生产只依赖 @qinglong/runtime-core，复用通用 ApiCredentialRepository、token grammar、digest 与 SecurityPrincipal，不复制 legacy login、Sequelize、Express 或 cluster adapter。

credential token 使用固定 ql3c_<credentialId>_<secret> 语法；secret 至少 32 bytes，服务端 pepper 至少 32 bytes。认证器先做有界语法解析和 point lookup，再 timing-safe 比较 digest，并验证 latest credential、Identity 状态、not-before/expiry 与时钟。成功只产生最多五分钟的 principal；本机 User credential 当前为 single_factor，不能单独满足 local-secret-admin 的 multi_factor|hardware|local_console 门槛。

4. 认证能力暂不进入默认 application

@qinglong/local-identity 是后续短生命周期 owner-bootstrap/provisioning 组合根的叶子依赖，当前禁止其他既有 3.0 package 反向导入。它不进入 edge/standalone application tarball，不增加 timer、watcher、sidecar、常驻 cache 或第二 SQLite connection。

本增量自身只有“验证已存在 credential”的能力，不提供创建首个 Identity/credential 的产品入口。ADR-0077 已用独立短生命周期组合根补齐一次性 provisioning 与原子首 Owner 安全核心，但可信本机 console 平台入口仍未完成，不能声称 fresh install 已有可发布 CLI/API。

被否决的替代方案

把 Identity SQL 加进 LocalSqliteRunRepository：扩大跨领域 god repository，拒绝。
Identity repository 独立打开 SQLite：破坏单连接队列、close fence 与路由设备预算，拒绝。
复用 2.x 用户名/密码/JWT 登录：把 legacy 可变身份和 session 结构带入 3.0 身份根，拒绝。
migration 自动 seed admin/default password：绕过本机 possession ceremony 并制造公开默认凭证，拒绝。
把单因素本机 credential 直接当强认证：绕过 Secret 管理与 Owner bootstrap 的 assurance 门槛，拒绝。
在常驻 application 中暴露 credential lookup/provisioning：提前扩大远程攻击面与路由器常驻闭包，拒绝。

影响与未完成项

本 ADR 完成了 ADR-0075 实施顺序中的稳定 Identity schema、credential catalog、共享 repository authority 与真实认证器前置条件，并修正了“共享数据库就必须共享 god repository”的错误设计。ADR-0077 已补齐默认不可达的 provisioning、challenge repository/service 与原子首 Owner claim，ADR-0078/0079/0080/0081/0082 补齐 POSIX proof、staged secret delivery/recovery、pepper provision/backup/restore、摘要绑定消费确认与 SQLite acknowledgement ledger，ADR-0083 已补齐跨方言 credential key provenance、exact-ID fence、受审 keyring/active CAS、ack-first credential rollover/revoke、bounded reference inspection 与版本化双材料 GC 核心，ADR-0084 已补齐可恢复 acknowledgement tombstone retention/GC；当前仍缺最终 CLI、legacy adapter 与完整 Linux/容器/物理设备证据。

验收证据

Node 24 SQLite capability v6 为十二条 reviewed migration、十六张 owned table，manifest/schema/readiness/catalog lockstep；
Run 与 API credential repository 共享一个 operation authority 和 close fence，原有 SQLite 23 项 contract 全部通过；
真实迁移库上的本机认证、错误 token、撤销/禁用/过期、存储/时钟失败与关闭后查询共 5 项测试通过；
第 23 个 3.0 importer 的 manifest/lock/source boundary 已登记，生产依赖只包含 runtime-core；
edge/standalone application 闭包仍为十二个 package，均不包含 local-identity 或 local-secret-admin，并继续满足 4 MiB/512 files/16 MiB RSS 门禁。

6.0 KiB Raw Permalink Blame History Unescape Escape