第4章 会话与角色激活：用户登录后如何获取角色列表、会话上下文维护、角色激活与临时提升

4.1 架构边界与分层

会话与角色激活位于权限系统的运行时层，连接认证网关与授权决策引擎。其边界定义如下：

• 输入边界：用户登录成功后由认证子系统颁发的 subject 凭据（Token、SessionID）。
• 输出边界：当前会话已激活的角色集合、临时提升的权限上下文，供后续鉴权拦截器查询。
• 内部隔离：会话管理模块不直接存储角色定义，仅通过 role-loader 接口获取用户关联角色。

典型分三层：

1. 会话存储层：Redis / 内存缓存，保存 sessionId → {userId, activatedRoles, tempPrivileges}。
2. 角色获取层：从 RBAC 仓储（数据库 / LDAP）加载用户→角色映射。
3. 激活控制层：处理角色选择、互斥校验、临时提升策略。

4.2 组件职责与数据流

数据流（用户登录后的核心时序）：

1. 用户提交凭证 → 认证通过 → 回调 SessionManager.createSession(userId)。
2. SessionManager 调用 RoleLoader.loadRoles(userId) 获取完整角色列表。
3. 将角色列表存入会话上下文（未激活/可选角色）供前端展示。
4. 用户选择默认激活的角色（或按策略自动激活默认角色）→ ActivationStrategy.activate(...)。
5. 激活结果写回会话，并记录 activatedRoles 字段。
6. 临时提升流程：用户发起提升请求 → 校验（时间窗口、审批、MFA）→ TempElevationService 向会话注入 tempPrivileges 并设置过期。

4.3 控制流与信任链路

信任链路必须保证角色激活过程不被篡改：

• 信任根：认证子系统签发的 subjectToken，包含用户ID和签发时间。
• 信任传递：SessionManager 仅接受经过签名的 subjectToken，拒绝仅凭SessionID的操作。
• 角色更新：角色列表变更（管理员授权/撤销）需通过 RoleLoader 的 invalidateCache(userId) 即时失效。
• 临时提升审计：每次提升操作必须记录操作人、目标用户、提升权限、有效期至审计日志，防止越权。

4.4 选型权衡

4.5 落地步骤

1. 会话上下文数据结构设计：明确 sessionId -> {userId, activatedRoles: Set<RoleID>, tempPrivileges: Map<Privilege, ExpireTime>}。
2. 实现RoleLoader接口：对接用户-角色关联表或LDAP组，支持批量加载与缓存失效。
3. 开发ActivationStrategy：包含默认角色激活、互斥校验、最大角色数限制。
4. 集成TempElevationService：定义提升策略（例如“运维人员可临时提升为系统管理员最多15分钟需二次认证”）。
5. 审计日志埋点：在SessionManager写入角色变更、TempElevationService写入提升记录。
6. 单元测试与混沌测试：验证互斥规则、缓存击穿、临时提升过期等边界。

4.6 验收标准

4.7 关键接口示例（RoleLoader）

public interface RoleLoader {
    List<Role> loadRoles(String userId);

    // 强制失效指定用户的缓存，在角色变更时调用
    void invalidateCache(String userId);
}