> ## Documentation Index
> Fetch the complete documentation index at: https://docs.orriven.com/llms.txt
> Use this file to discover all available pages before exploring further.

# 安全与授权

> MCP 集成安全架构：授权模型、凭据隔离、令牌生命周期与审计日志规范。

## 授权模型

orriven MCP 服务采用基于 OAuth 2.1 的委托用户授权模型。客户端获得授权后，工具执行时将直接继承授权用户在各个组织及业务单元中的角色与操作权限。

访问权限严格遵循平台的基于角色的访问控制（RBAC）：

* **权限继承**：具备业务单元管理员（Admin）角色的账号可管理 API 密钥与 Webhook；仅具备查看者（Viewer）角色的账号仅能执行查询操作。
* **范围限制**：操作作用域仅限于授权用户实际加入的组织与业务单元，未授权的业务单元无法查询或修改。

## 凭据隔离与安全边界

MCP 服务架构设计了严格的凭据与数据隔离机制：

* **密码不外泄**：身份认证完全在 orriven 控制台内部完成，客户端仅持有签发的标准 OAuth 访问令牌。
* **会话隔离**：MCP 访问令牌无法用于建立控制台网页交互式会话。
* **业务数据隔离**：MCP 工具聚焦于开发者与管理资源配置。访问活动业务数据（参会者、票务、订单）必须使用通过 `create_api_key` 生成的独立 API 密钥。

## 令牌生命周期

| 事件          | 策略                     |
| ----------- | ---------------------- |
| **访问令牌有效期** | 1 小时                   |
| **令牌续期机制**  | 活跃使用期间静默滑动续期           |
| **闲置失效策略**  | 连续 7 天无调用后，刷新凭据自动失效    |
| **账号停用处理**  | 用户账号被停用时，关联的所有活动令牌立即失效 |
| **客户端移除**   | 在客户端中删除连接器后停止续期，令牌自然过期 |

<Note>
  如需立即阻断已连接客户端的后续操作，请吊销该客户端创建的 API 密钥，并在组织成员设置中调整或停用授权用户的账号。
</Note>

## OAuth 2.1 协议规范与校验

MCP 服务严格遵循 OAuth 2.1 授权框架：

* **授权码流程结合 PKCE**（RFC 7636），防止授权码拦截与篡改。
* **动态客户端注册**（RFC 7591），支持标准化客户端动态接入与端点发现。
* **严格重定向 URI 校验**：重定向目标必须精确匹配客户端注册的合法 URI（如 Claude.ai 对应 `claude.ai`，本地工具对应本地回环地址）。

<Warning>
  在授权确认时务必核对重定向目标地址。仅授权由本人在当前会话中主动发起的请求。
</Warning>

## 审计日志规范

所有通过 MCP 工具执行的状态变更操作均记录在组织[审计日志](/zh/organization/audit-logs)中：

* **主体归属**：审计条目记录授权用户的账号身份，并标注 *经由 MCP* 徽标。
* **执行详情**：记录包含调用的工具名称、目标资源 ID 及请求参数。所有敏感字段（如签名密钥、API 密钥明文）在持久化前均已自动脱敏。
* **API 请求日志**：通过生成的 API 密钥发起的 Developer API 调用，统一记录在对应业务单元的请求日志中，可通过 `list_api_request_logs` 检索。

## 安全最佳实践

* **最小权限原则**：建议使用权限范围与具体任务匹配的专用账号进行 MCP 授权。
* **凭据安全存储**：生成 API 密钥后，应直接持久化至加密的机密管理器或服务环境变量中，避免在对话上下文中明文传递。
* **短期凭据配置**：在临时任务或测试环境中生成 API 密钥时，建议配置 `expiresAt` 参数设置过期时间。
* **定期审计审查**：定期在组织审计日志中检索标注 *经由 MCP* 的操作记录，核验自动化运维行为。