jkooe
cd774ae0a6
feat(E3c): Hub 侧按控制端授权（多令牌 + 按设备白/黑名单 + 注册准入）
## 背景
Hub 原先只有**一个**令牌：任何持有者都能接入任意设备，无法区分「谁在控制哪台机器」。
E3 的权限隔离因此只做到能力级（被控端 ACL），Hub 侧仍是全通。
## 实现（apps/hub/src/authz.ts，纯函数便于单测）
- 多令牌：每个令牌 = 一个控制端身份，可独立指定 allow_nodes / deny_nodes（glob）
- 判定顺序 deny -> allow -> 默认拒绝；未配置 allow_nodes 时默认放行（兼容）
- 顶层 token 视为主令牌（放行全部），旧配置零改动
- 前缀式滚动令牌：value 以 * 结尾时按前缀匹配（轮换期间可灰度）
- 注册准入：node_allowlist 非空时只有匹配的 node_id 能注册，防止他人借令牌挂靠节点
- 列表按身份过滤：控制端只看得到自己被授权的设备
- 越权接入返回新错误码 E_NODE_FORBIDDEN
## 职责边界（重要）
Hub 只做「能否连到某设备」的接入过滤；连上之后的**能力级**授权仍由被控端 ACL
按 client_id 裁决。两层各自独立，Hub 不参与能力决策 —— 保持 Hub 不可信假设。
## 测试
- 单测 79 -> 89（新增 Hub 授权 10 例：主令牌兼容 / 未知令牌 / 前缀轮换 /
deny 优先 / glob 白名单 / 默认放行 / 注册准入 / 旧配置兼容 / 列表过滤 / glob 转义）
- e2e：Hub 用例新增受限令牌访问未授权设备 -> 断言 E_NODE_FORBIDDEN 且错误信息含授权原因
2026-09-29 14:38:53 +08:00
..
2026-09-29 14:33:01 +08:00
2026-09-29 14:33:01 +08:00
2026-09-29 14:38:53 +08:00
2026-09-29 14:25:35 +08:00