# 登录开关与外部账号首次授权

超级管理员在“系统配置”中分别控制本地密码登录和本地账号自行注册，默认都开启。关闭密码登录后，本地注册也暂时不可用，因为当前注册流程会建立本地会话；注册开关的原值会保留。关闭密码登录还会阻止密码重置、密码修改和直接密码认证。已有会话按原有效期结束，不会立刻踢下线。

关闭密码登录前，页面会提示可能失去管理入口，但允许继续。部署方应先确认至少有一位超级管理员能通过外部身份登录。若锁定管理入口，使用受控数据库操作恢复 `system_setting` 中 `auth.local` 的 `passwordLoginEnabled`，并记录操作；仅修改启动参数不会覆盖已有数据库设置。

## 空库初始化

全新安装且尚无用户时，启动参数提供初始值。已有用户的实例升级时，若尚无 `auth.local` 记录，首次启动会把两个开关都设为开启，以保持原有登录行为：

| 环境变量 | Helm 值 | 默认值 |
| --- | --- | --- |
| `SKILLHUB_AUTH_INITIAL_PASSWORD_LOGIN_ENABLED` | `auth.initialSettings.passwordLoginEnabled` | `true` |
| `SKILLHUB_AUTH_INITIAL_SELF_REGISTRATION_ENABLED` | `auth.initialSettings.selfRegistrationEnabled` | `true` |
| `SKILLHUB_AUTH_INITIAL_ROLE_GRANTS_JSON` | `secrets.initialRoleGrantsJson` | `[]` |

首次授权规则的 JSON 示例：

```json
[{"provider":"github","email":"admin@example.com","role":"SUPER_ADMIN"}]
```

规则仅在第一次初始化且 `user_account` 为空时写入；初始化标记防止以后删除规则再重启时重复创建。正式环境请通过 Secret 提供 JSON，不要将实际邮箱写进公开的 values 文件。初始化以后，数据库和“系统配置”页面是权威来源。

## 授权边界

规则按身份来源代码和**已验证邮箱**匹配。只有外部身份通过现有准入策略、并且新账号首次创建为可用状态时，才给新账号授予选定平台角色；规则随后标为“已授权”，不会再次使用。拒绝或待审批的登录不会触发授权，规则不会绕过准入策略。已有账号请在“用户管理”中直接授权。相同邮箱的本地账号不会因此合并或获得角色。

当前飞书和钉钉适配器把邮箱标记为未验证：它们的用户资料没有提供可证明用户控制该邮箱的信号。因此后台和初始化均拒绝为 `feishu` 或 `dingtalk` 配置邮箱规则。GitHub 的已验证主邮箱、提供 `email_verified=true` 的 OIDC 身份等可匹配。飞书或钉钉账号首次进入后，可由已有超级管理员在用户管理中授权；如果部署方只允许飞书或钉钉登录，必须先安排其他可用的管理员入口。不能为了触发规则而把未验证邮箱改成已验证。

后台可以新增规则、调整待匹配规则的角色、停用规则，并查看已使用规则的匹配身份和授权账号。只允许超级管理员操作；修改带版本号，避免两个管理员同时改动时后写覆盖前写。紧急恢复可通过受控数据库操作处理，并保留审计记录。