业务逻辑整理

flowchart TD
  start["客户端或守护进程"] --> pick{"配置了哪种 Center"}
  pick -->|"没有 Center
或只做本机库"| local["memories daemon"]
  local --> localstore["本机加密 Store
设备密码解开"]
  localstore --> localcontent["记忆、卡片、文件、凭据
密钥留在设备"]
  pick -->|"mode = ticket
默认"| tickets["memories-center
不带 --data"]
  tickets --> signed["签发三类票据
登记 / MCP 授权 / 解锁"]
  signed --> stilllocal["内容仍在各设备自己的库
Center 不保存保险库明文"]
  pick -->|"恰好一个 mode = saas"| attach["守护进程把内容 RPC
转到该 Center 的 /v1/rpc"]
  attach --> hosted["memories-center --data"]
  hosted --> serverstore["服务器加密 Store
运营者持有库密码"]
  hosted --> members["持久成员与限时授权
成员文件里是明文 bearer"]
  hosted --> sealed["e2e 卡片的密封信封
Center 读不到秘密正文"]
  attach --> nofallback["本机不再作为内容后端
不支持的操作直接失败"]

flowchart TD
  caller["Admin 或 Owner
本机须已解锁，不需要终端提权"] --> ask{"请求的范围、期限、接收人"}
  ask --> ceil{"是否同时落在
角色天花板和父授权范围内"}
  ceil -->|"超出、跨库、比父授权活得更久
或期限不在 1 到 60 分钟"| deny["拒绝"]
  ceil -->|"通过"| who{"接收人"}
  who -->|"还不是该库成员
角色高于签发人
或是 center-admin"| deny
  who -->|"深度将超过 2"| deny
  who -->|"合格"| mint["签发"]
  mint --> once["令牌只在这一次响应里出现"]
  mint --> hash["库里只存 SHA-256 和元数据"]
  hash --> live["锁定时暂停使用，不撤销
解锁或重启后未过期的继续有效"]
  live --> drop["过期在加载和定时检查时清掉
撤销会连同子孙一起失效"]

flowchart TD
  member["任意当前成员"] --> create["提交申请
范围默认 read，期限默认 30 分钟"]
  create --> cap{"该成员在该库的待决申请 ≤ 20
且该库待决总数 ≤ 200"}
  cap -->|"超出"| limit["拒绝
Center 返回 429"]
  cap -->|"通过"| pending["pending"]
  pending --> route{"审批人列表"}
  route -->|"空"| broadcast["广播给该库全部 Admin/Owner"]
  route -->|"点名"| named["只限列出的 Admin/Owner
创建时和决定时都再核对"]
  pending --> self{"谁来决定"}
  self -->|"申请人自己"| noself["不能批准或拒绝自己的申请
可以取消仍在 pending 的申请"]
  self -->|"指定接收人的授权调用者"| nogrant["不能批准、拒绝、取消或领取"]
  self -->|"合格的 Admin/Owner"| fit{"是否落在审批人的角色、
范围、库和剩余期限里"}
  fit -->|"超出"| stay["保持 pending"]
  fit -->|"拒绝"| rejected["rejected，只此一次"]
  fit -->|"批准范围"| approved["approved
只记录参数，不铸造令牌"]
  fit -->|"批准角色，仅本机"| rolechg["立即改角色
Owner 角色走签名的所有权转移
限时授权不能批永久角色变更"]
  approved --> claim["原申请人用成员凭据领取一次"]
  claim --> token["这时才铸造
期限从领取时起算，且不超过批准时记下的父期限"]
  pending --> exp1["超过 7 天：expired
审计 actor = system"]
  approved --> exp2["批准后 7 天未领取：expired"]
  rejected --> prune["决定、过期或领取之后 30 天删除"]
  exp1 --> prune
  exp2 --> prune
  token --> prune

flowchart TD
  op["运营者管理员 bearer"] --> adminroutes["状态、锁定、解锁、成员增删改"]
  op --> mintpath["签发票据或限时授权
不指定接收人时主体是授权自己的 ID"]
  member["持久成员 bearer"] --> content["/v1/memories 与 /v1/rpc
绑定一个保险库"]
  member --> authz{"角色是 Admin 或 Owner？"}
  authz -->|"是"| manage["在该库内列访问、签发、撤销、审批"]
  authz -->|"否"| useonly["只能按内容范围使用
不能签发或审批"]
  adminroutes --> lock["锁定：丢掉内存密钥，授权暂停"]
  lock --> locked503["内容与铸造访问令牌返回 503"]
  lock --> stillok["状态、成员列表和移除、设备票据仍可用"]
  locked503 --> unlock["用运营者库密码远程解锁
密码不写入启动配置"]
  unlock --> resume["静态授权、成员和未过期授权恢复
已撤销的不会复活"]

flowchart TD
  init["CLI：device hosted init
32 字节种子放进系统保管
派生 X25519 和 Ed25519"] --> pair["CLI 用成员令牌发起配对
提交两把公钥和自签名"]
  pair --> pending["Center 建立 5 分钟的待决申请
返回配对码、申请 ID 和二维码载荷"]
  pending --> scan["该库管理员的手机扫码或手输配对码"]
  scan --> check{"二维码类型、Center ID、
指纹是否与服务器返回一致"}
  check -->|"不一致、过期、已用"| stop["拒绝
未知、过期、已用都是 404"]
  check -->|"一致"| sas["手机先显示 6 位 SAS
再决定是否批准"]
  sas --> approve["手机用自己的 Ed25519 签署证明
覆盖指纹、双方设备密钥、配对 ID、审批人、范围和期限"]
  approve --> claim["CLI 领取一次
设备范围的令牌进系统保管
Center 只留哈希"]
  claim --> compare["CLI 打印同一组 SAS
数字不同就撤销并重新配对"]
  compare --> bound["设备授权绑定到未撤销、已证明的设备
以及该成员的世代"]

flowchart TD
  card["卡片标成 e2e"] --> refuse["托管接口拒绝明文秘密
去掉 e2e 标记的写入也拒绝"]
  card --> seal["已证明的设备写入信封
接收方必须是该设备的 X25519
签名者必须是已知设备"]
  seal --> store["Center 只存密文和公钥"]
  store --> read["目标设备取出并解开"]
  read --> revoke{"设备被撤销或失效"}
  revoke --> wipe["删除该设备的信封
相关卡片标成 needs_rotation"]
  wipe --> upstream["已送到设备上的明文收不回
先在上游更换秘密"]
  upstream --> reseal["手机为当前仍获批的全部设备重新密封
版本加一，并清掉轮换标记
已撤销设备不包含在内"]
  refuse --> clear{"谁能清掉 e2e 标记"}
  clear -->|"Owner 的授权，且这次写入不含秘密"| normal["之后按普通规则写"]
  clear -->|"设备授权"| keep["不能清除标记"]