OIDC

docs/design/index.md

@@ -16,6 +16,7 @@ OpenFlare 是一套自托管的 OpenResty 控制面，面向单团队或单组
 | 基础观测 | 聚合节点请求、资源快照、健康事件和访问分析 |
 | 节点管理 | 节点状态、令牌体系、部署与更新链路 |
 | 管理端前端 | 基于 Next.js 的正式管理端 |
+| 认证源登录 | 支持以认证源形式配置 GitHub 与标准 OIDC 登录入口，并允许第三方账号绑定已有本地用户 |
 
 默认工作方式：
 
@@ -31,6 +32,8 @@ OpenFlare 是一套自托管的 OpenResty 控制面，面向单团队或单组
 * `origins`
 * `config_versions`
 * `nodes`
+* `auth_sources`
+* `external_accounts`
 * `node_system_profiles`
 * `apply_logs`
 * `tls_certificates`
@@ -80,6 +83,19 @@ OpenFlare 是一套自托管的 OpenResty 控制面，面向单团队或单组
 * 未绑定证书的域名不得被自动带入 HTTPS。
 * 必须将 `proxy_routes.domains` 中的全部域名一并纳入同一站点配置，避免同站点在版本快照中被拆散。
 
+## 认证源约束
+
+`auth_sources` 是管理端第三方登录入口的配置对象，当前仅支持 `github` 与 `oidc` 两类。启用后的认证源会显示在登录页。
+
+`external_accounts` 保存认证源外部账号与本地用户的绑定关系。第三方账号首次登录时：
+
+* 已绑定本地用户则直接登录。
+* 当前已有本地登录 Session 时，绑定到当前用户。
+* 未绑定且允许注册时，自动创建普通用户并绑定。
+* 未绑定且关闭注册时，只允许用户输入已有本地账号密码完成绑定。
+
+旧 `users.github_id` 仅作为升级迁移来源，新的第三方账号登录与绑定关系必须以 `external_accounts` 为准。
+
 ## 版本与观测约束
 
 * `config_versions` 必须保存完整快照、渲染结果与 `checksum`。