┌─────────────┐     1.申请签发      ┌─────────────┐
│ 业务应用层   │ ─────────────────▶ │ 邀请签发服务 │
│ (会议管理)   │     2.返回Token    │ (中心化)    │
└─────────────┘ ◀───────────────── └──────┬──────┘
                                            │
                    3.分发链接               │ 4.校验请求
┌─────────────┐                            ▼
│ 外部嘉宾端   │ ◀────────────────── ┌─────────────┐
│ (浏览器/App) │     5.放行/拦截      │ 网关/会议服务│
└─────────────┘ ──────────────────▶ │ (边缘校验)   │
                                    └─────────────┘

{
  "iss": "meeting-invite-service",        // 签发者标识
  "sub": "ext_guest_789456",              // 外部嘉宾唯一标识
  "aud": "meeting-gateway",               // 受众服务
  "jti": "a1b2c3d4-e5f6-7890-abcd-ef1234567890", // 唯一Token ID (防重放)
  "iat": 1703000000,                      // 签发时间戳
  "exp": 1703003600,                      // 绝对过期时间 (建议 30-60 分钟)
  "nbf": 1703000000,                      // 生效时间 (支持定时会议)
  "ctx": {                                // 业务上下文 (最小化原则)
    "mid": "conf_20240115_001",           // 会议ID
    "role": "attendee",                   // 权限角色: host/cohost/attendee/viewer
    "perm": ["join", "chat", "poll"],     // 细粒度权限位
    "src": "email"                        // 分发渠道标识
  }
}

func ValidateAndConsume(tokenString string) (bool, *Claims, error) {
    // 1. JWS 验签、标准声明校验
    claims, err := parseAndVerify(tokenString)
    if err != nil { return false, nil, err }

    // 2. 防重放: 原子标记 "已使用"
    usedKey := fmt.Sprintf("invite:used:%s", claims.ID)
    // SET key value NX EX 86400 (24h 过期, 覆盖最大可能有效期)
    ok, err := redisClient.SetNX(ctx, usedKey, "1", 24*time.Hour).Result()
    if err != nil { return false, nil, err }
    if !ok {
        return false, nil, ErrTokenReused // 已被使用
    }

    // 3. 撤销列表二次校验 (防御分布式一致性延迟)
    if revokedStore.Check(claims.ID) {
        return false, nil, ErrTokenRevoked
    }

    return true, claims, nil
}

# 策略配置示例 (YAML)
invite_policies:
  - name: "standard_board_meeting"
    base_ttl_minutes: 30                    # 基础有效期
    max_ttl_minutes: 120                    # 最大允许延长
    nbf_offset_minutes: -10                 # 提前 10 分钟生效 (缓冲时钟漂移)
    extend_on_reminder: true                # 发送提醒时自动顺延
    extend_duration_minutes: 15
    revoke_on_meeting_end: true             # 会议结束即时失效
    revoke_on_guest_status_change: true     # 嘉宾状态变更 (取消/替换) 即时失效
  
  - name: "public_webinar"
    base_ttl_minutes: 1440                  # 24 小时
    allow_multiple_use: false               # 仍为一次性, 但窗口更长
    bind_client_fingerprint: true           # 绑定设备指纹 (UA + IP 段)

def generate_invite_url(guest_id, meeting_id, channel, policy_name):
    # channel 取值: email, sms, wechat_work, dingtalk, api, manual
    token = issue_token(guest_id, meeting_id, policy_name, ctx={"src": channel})
    base_url = config.INVITE_ENTRY_DOMAIN  # 统一入口域名, 便于WAF防护
    return f"{base_url}/join?token={token}&ch={channel}"

{
  "event": "invite_token_verified",
  "timestamp": "2024-01-15T10:30:00.123Z",
  "trace_id": "a1b2c3d4e5f6",
  "actor": { "type": "guest", "id": "ext_guest_789456", "ip": "203.0.113.45", "ua": "..." },
  "resource": { "type": "meeting", "id": "conf_20240115_001" },
  "token": { "jti": "a1b2c3d4...", "policy": "standard_board_meeting", "channel": "email" },
  "result": "success",
  "latency_ms": 12,
  "geo": { "country": "CN", "province": "Zhejiang", "city": "Hangzhou" }
}

graph LR
    subgraph 实体层
        G1[嘉宾A] -->|共用设备| G2[嘉宾B]
        G1 -->|同IP段| G3[嘉宾C]
        G4[会议M1] -->|关联| G1
        G4 -->|关联| G2
        G5[会议M2] -->|关联| G3
    end
    subgraph 特征层
        F1[入会时间高度重合]
        F2[设备指纹相似度>0.95]
        F3[IP地址C段相同]
    end
    G1 -.-> F1
    G2 -.-> F1
    G1 -.-> F2
    G2 -.-> F2
    G1 -.-> F3
    G3 -.-> F3

┌─────────────────────────────────────┐
│  Master Invitation Token (长期)      │
│  - 有效期: 系列会议周期 (如 1 年)    │
│  - 权限: "series:manage"            │
│  - 存储: 嘉宾侧 Password Manager    │
└──────────────┬──────────────────────┘
               │ 1. 客户端携带 Master Token 请求
               ▼
┌─────────────────────────────────────┐
│  Episode Credential Service         │
│  - 校验 Master Token 有效性         │
│  - 校验当前会期是否开放 (nbf/exp)   │
│  - 签发 Episode Access Token (短期) │
│    - 有效期: 单场会议窗口 (2h)      │
│    - 绑定: 具体会议 ID (mid)        │
│    - 一次性: 标准防重放机制         │
└──────────────┬──────────────────────┘
               │ 2. 返回 Episode Token
               ▼
┌─────────────────────────────────────┐
│  会议网关 (标准校验流程)             │
└─────────────────────────────────────┘

Participant->>IdP (Azure AD): 1. 访问邀请链接携带 state=meeting_xyz
IdP->>Participant: 2. 重定向登录/授权
Participant->>Meeting Gateway: 3. 携带 IdP ID Token / SAML Assertion 回调
Meeting Gateway->>Token Exchange Service: 4. 请求联邦 Token 置换
Token Exchange Service->>Token Exchange Service: 5. 校验 IdP 签名、受众、映射属性 (email->guest_id)
Token Exchange Service-->>Meeting Gateway: 6. 返回标准 Episode Access Token (短期)
Meeting Gateway-->>Participant: 7. 302 重定向至会议室 (携带标准 Token)

-- Nginx/OpenResty + lua-resty-jwt + redis-cluster 伪代码
local function verify_token(token_str)
    -- 1. 本地 JWKS 缓存验签 (零网络 IO)
    local jwt_obj = require("resty.jwt")
    local verified, payload = jwt_obj:verify_verifiers(jwks_cache, token_str, {
        exp = function(v) return v > ngx.time() - 60 end, -- 允许 60s 时钟漂移
        nbf = function(v) return v <= ngx.time() + 60 end,
        aud = "meeting-gateway"
    })
    if not verified then return ngx.exit(401) end

    -- 2. 原子防重放 + 撤销位检查 (单次 Redis 往返, Pipeline 合并)
    local jti = payload.jti
    local redis = redis_cluster:new()
    -- 使用 Redis Lua 脚本保证原子性: CHECK-AND-SET + BITMAP 撤销检查
    local script = [[
        local used_key = "inv:used:" .. KEYS[1]
        local revoke_key = "inv:revoke:bitmap"
        -- 检查撤销位图
        if redis.call('GETBIT', revoke_key, KEYS[1]) == 1 then return -1 end
        -- SETNX 标记已用
        local ok = redis.call('SET', used_key, 1, 'NX', 'EX', 86400)
        if not ok then return -2 end
        return 1
    ]]
    local res = redis:eval(script, 1, jti)
    if res == -1 then return ngx.exit(403, "Token Revoked") end
    if res == -2 then return ngx.exit(409, "Token Reused") end

    -- 3. 透传业务上下文至上游 (Header 传递, 避免上游再次解析)
    ngx.req.set_header("X-Guest-ID", payload.sub)
    ngx.req.set_header("X-Meeting-ID", payload.ctx.mid)
    ngx.req.set_header("X-Perm-Bits", table.concat(payload.ctx.perm, ","))
    return true
end

┌──────────────────┐     数据最小化/去标识化      ┌──────────────────┐
│  全球统一签发服务  │ ──────────────────────────▶ │  区域隔离网关集群  │
│  (核心逻辑、密钥)  │  仅下发: jti, exp, perm, kid  │  (CN / EU / SG)   │
└──────────────────┘                                └────────┬─────────┘
                                                               │
                                    ┌──────────────────────────┘
                                    ▼
                         ┌────────────────────────┐
                         │  区域本地化身份映射服务  │
                         │  (Guest ID <-> PII 映射) │
                         │  数据不出境、本地加密存储 │
                         └────────────────────────┘

service InviteService {
  // 签发邀请
  rpc Issue(IssueRequest) returns (IssueResponse);
  // 批量签发 (Webinar 场景)
  rpc BatchIssue(BatchIssueRequest) returns (stream BatchIssueResponse);
  // 主动撤销
  rpc Revoke(RevokeRequest) returns (RevokeResponse);
  // 查询 Token 状态 (客服/审计用)
  rpc Inspect(InspectRequest) returns (InspectResponse);
}

message IssueRequest {
  string policy_name = 1;           // 策略名
  string guest_external_id = 2;     // 业务侧嘉宾唯一ID
  map<string, string> context = 3;  // 透传业务上下文 (会议ID、权限等)
  string idempotency_key = 4;       // 幂等键 (防重试重复签发)
  int32 ttl_override_seconds = 5;   // 可选覆盖 TTL (受策略最大值限制)
}

[Issuer: 会议系统] --(签发 VC)--> [Holder: 嘉宾钱包 App] --(展示 VP)--> [Verifier: 会议网关]
       │                                                              ▲
       │  VC 内容:                                                    │
       │  - type: ["VerifiableCredential", "MeetingInvitation"]      │
       │  - credentialSubject: {                                     │
       │      id: "did:key:z6Mk...",  // 嘉宾 DID                   │
       │      meetingId: "conf_2024...",                             │
       │      role: "attendee",                                      │
       │      validFrom: "...", validUntil: "..."                    │
       │    }                                                        │
       │  - proof: { type: "Ed25519Signature2020", ... }             │
       ▼                                                              │
[VC Registry / Status List 2021] --(撤销状态查询)---------------------┘