🧩 UM 分组与策略系统 v1.1

核心特性 必读

UM v1.1 引入了三级权限 + 6 大登录策略 + 灵活配置中心，解决 B 端商家入驻场景下"单点登录 vs 独立登录"的灵活配置问题。

三大创新点

• 分组 SSO：商家可以把多个应用加入同一分组（如 yunjii），同组应用共享登录态
• 三级权限模型：超管 / 客户 / B 端用户 / C 端用户，各管各的范围
• 配置驱动：所有 27+ 项可配置项都注册在 um_perm_registry，新增策略无需改代码

6 大登录策略

三级权限模型

预置角色（um_b_roles）

灵活配置中心（ConfigCenter）核心

所有可配置项必须在 um_perm_registry 中注册。配置合并优先级：

应用级 override  >  分组级 override  >  perm_registry 默认值

已注册的 27 项可配置项

新 API 接口

act=check_sso - SSO 状态检测

检测用户是否已在 SSO 中心登录。已登录直接返回 Token。

成功响应：

{
    "code": 0,
    "logged_in": true,
    "token": "eyJ0eXAiOiJKV1Qi...",
    "scope": "yunjii",
    "scope_type": "group",
    "user": { "id": 10086, "nickname": "demo" }
}

act=sso_logout - SSO 统一登出

登出当前作用域内所有 Token（单设备/分组/全局）。

act=policy - 查询应用登录策略

供前端 SDK 动态获取当前应用的策略配置。

{
    "code": 0,
    "policy": "group_sso",
    "group_key": "yunjii",
    "all_options": {
        "multi_device.max_devices": 0,
        "login.max_attempts": 5,
        "ip_bound.change_action": "kick",
        ...
    }
}

Token 多实例机制

从 v1 单 Token 升级为 v2 多实例：um_user_token 表存储按 scope 分组的多 Token。

设备指纹与登录设备记录

DeviceFingerprint::generate() 基于 UA + IP + Accept-Language 生成设备 ID。
um_user_device 表记录每个设备的登录信息：

• 设备 ID、类型（mobile/pc/tablet）、OS、浏览器
• IP、地理位置、最后活跃时间
• 关联的 token_id（踢出某个设备即删其 token）

C 端用户可以在"我的设备"页面查看并主动踢出某个设备。

数据表

核心代码类（um/auth.php）

管理界面入口

典型应用场景示例

场景 1：云集旗下产品线 SSO

// 在管理后台创建分组
INSERT INTO um_app_group (group_key, name, login_policy, policy_config)
VALUES ('yunjii', '云集产品线', 'group_sso', '{"max_devices":0}');

// 把多个 app 加入分组
UPDATE um_apps SET group_id=2 WHERE appid IN (1001, 1002, 1003, 1005);

// 效果：用户登录任意一个 app，同分组所有 app 自动登录
// 设备数无限制（max_devices=0）
// Cookie 域：.yunjii.cn（主域下所有子域共享）

场景 2：交易系统 - 单设备 + IP 绑定

// 创建分组 "trading"
INSERT INTO um_app_group (group_key, name, login_policy, policy_config)
VALUES ('trading', '交易系统', 'single_device', '{}');

// 应用表覆盖策略（再叠加 IP 绑定）
UPDATE um_apps SET login_policy='ip_bound' WHERE appid=2001;
// policy_config: {"ip_bound":true,"change_action":"kick"}

// 效果：
// 1. 用户在新设备登录，旧设备立即被踢
// 2. IP 变化立即踢出，需重新登录

场景 3：SaaS 工具 - 多设备限额 3 端

// B 端商家在控制台里调整 max_devices = 3
$cc = new ConfigCenter();
$cc->set('multi_device.max_devices', 3, appid: 3001, bUserId: 5);

// 效果：用户最多 3 个设备同时在线
// 第 4 个设备登录时，自动踢出最早的第 1 个

代码调用示例

PHP 端生成带策略的 Token

require_once 'auth.php';

$token = new Token();
$result = $token->generateWithPolicy(
    userId: 10086,
    openid: 'oxxx',
    type: 'wx',
    appid: 1001,
    options: [
        'policy'      => 'group_sso',
        'group_key'   => 'yunjii',
        'device_id'   => DeviceFingerprint::generate(),
        'device_info' => DeviceFingerprint::info(),
        'max_devices' => 0,    // 0 = 不限制
        'ip_bound'    => true, // 强 IP 绑定
    ]
);

读取最终生效的配置

$cc = new ConfigCenter();
$opts = $cc->getEffective(1001);
echo $opts['multi_device.max_devices'];   // 0
echo $opts['login.max_attempts'];         // 5
echo $opts['ip_bound.change_action'];     // 'kick'

判断 B 端权限

$bAuth = new BUserAuth();
if ($bAuth->can('multi_device.max_devices', 'w')) {
    // 当前 B 端用户可修改最大设备数
}
if ($bAuth->ownsApp(1001)) {
    // 当前 B 端用户管辖 appid=1001
}

迁移说明

1. 执行 um/migrate_sso.sql 创建 3 张表 + 2 个 ALTER
2. 执行 um/migrate_rbac.sql 创建 6 张表 + 1 个存储过程 + 27 项配置注册
3. 无侵入：v1 单 Token 自动兼容，不需要数据迁移