LAS SSO 0.1.0-rc.1

LAS SSO 0.1.0-rc.1 / 首个发行候选

预发布（Pre-release），用于受控测试评估；不是正式 0.1.0，也不代表生产部署批准。

下载与安装

下载 las-sso-0.1.0-rc.1.zip（81,512,271 bytes），解压后按包内 README 操作：

python scripts/verify-package.py

SHA-256：

6c8be5bbfee723d529217430fde8515ef5f64648e4355590fb184a2eb5682c04

附件 las-sso-0.1.0-rc.1-SHA256SUMS.txt 提供 ZIP/验收摘要校验；SHA-256 用于完整性核对，不是数字签名。附件 las-sso-0.1.0-rc.1-verification.json 为脱敏的交付后验收摘要。GitHub 自动生成的 Source code ZIP/tar.gz 只是源码，不是可直接安装的完整交付包。

包含内容与变更

• SSO server、Starter file Maven 制品（JAR/POM/Gradle metadata）、参考 BFF、精确源码快照。
• 中英各 18 页手册、63 个编号流程；实现级 OpenAPI 3.1（49 paths / 59 operations / 54 schemas）。
• 单机 SSO/PostgreSQL Compose + 同机单层外部 Nginx 模板；应用端口仅 loopback 发布，管理/数据库私有。内置 Nginx 是可选替代。容器镜像不包含在 ZIP，需构建或加载。
• 修复 refresh 历史校验中先核所属 client、再执行复用撤销副作用的顺序；无新数据库迁移或依赖锁变化。
• dev/RC/stable 发行工具、包内校验、监控哈希生成及部署排障。

来源与验证

Tag v0.1.0-rc.1 指向实际干净构建来源 8db0b20，不是较新的 main。

• 精确版本强制 clean/database-required：597 server +196 Starter +50 reference =843 tests，fail/error/skip 均 0；Starter 发布通过。
• 14 项 Python 工具测试；独立解压、文件篡改/额外文件拒绝、SDK 原生/POM-only 消费、包内镜像构建通过。
• 账号注册/恢复/首登强改/冻结/注销取消，默认与自有安全链双客户端 OIDC、刷新、重认证、两类退出/HTTPS Back-channel 通过。
• 隐藏管理员维护、同 V16 已填数据升级、实际独立目标 backup/restore、新 epoch/key、旧 Cookie/AT/RT/code 拒绝通过。
• Trivy advisory DB 2026-10-11：241 锁依赖/157 nested-JAR 包，无报告依赖漏洞。Semgrep 514 路径，6 条已复核提示，0 error。
• 源码/制品/完整包秘密扫描 0；Git 历史一条合成测试路径匹配保原 exit1 及复核，无 suppress。

后续 main 的 GitHub Verify 在 Windows/Linux 均通过，但该 hosted CI 不是标签源码的精确 RC 构建证据。Windows TEMP 路径 fixture 修正只在后续 main，未补写本包。

已知限制

SSO 测试镜像仍有 3 条 High： 基础镜像继承的 /usr/bin/pebble（Go stdlib v1.26.7），CVE-2026-78667、CVE-2026-78669、CVE-2026-97031。固定 SSO launcher 不调用该工具，但它仍存在；正式镜像前需移除/升级、复扫和验证新镜像。本 RC 不宣称镜像安全验收全通过。

• 运行验证采用短期私有 CA/浏览器 SPKI fixture 及单跳容器代理；不代主机 Linux 权限/防火墙/public CA/续期验收。
• PostgreSQL effective rootfs 复扫无报告漏洞，旧 gosu archive 匹配已核移除且保原报告。未补丁 edge fixture 不推荐生产；实际主机 Nginx/OS 独立验证。
• 正式域名/HTTPS、真实监控/通知、加密异机 backup/RPO/RTO、目标容量及每个实际消费方由上线阶段完成。
• Starter 初期单 JVM，BFF 重启结束业务登录；无多实例/跨重启保登录或完整 OpenID certification 声明。
• 历史 RT 撤未知后继 family 的补偿未实现、仍可选；撤销 HTTP200 不证明未知 family 已清理。

完整中文验收记录 · English acceptance record

---

English summary

This is the first release candidate, not stable 0.1.0 or production approval. Download the full las-sso-0.1.0-rc.1.zip, check the attached SHA256SUMS, extract and run python scripts/verify-package.py. GitHub's automatic source archives do not contain the complete installable delivery.

Includes server, Starter file Maven artifacts, reference BFF, clean source, implemented OpenAPI and bilingual operation handbooks. Selected deployment is containerized SSO/PostgreSQL with one external same-host Nginx and loopback-only app publication. Container images are built/loaded separately.

Tag targets exact clean source 8db0b20. All 843 database-required tests passed with zero failures/errors/skips. Independent package/SDK, account/browser, default/custom-chain OIDC/refresh/reauthentication/local-global logout, maintenance/populated same-V16 upgrade and real separate-target restore/epoch/key checks passed. Full source/artifact/package secret checks reported zero; one historical synthetic test-path finding retains its original exit1 and review.

Known image issue: three High findings remain in inherited, unused /usr/bin/pebble (Go stdlib v1.26.7); remove/upgrade and revalidate new image inputs before stable-image acceptance. Java dependency zero findings do not mean image vulnerabilities are zero. Target public domain/CA/renewal, host Linux/security, real notifications, off-host recovery and capacity remain launch-stage evidence. No production secrets, raw authentication captures or private scanner reports are attached. Later main CI is passing, but it is distinct from this RC's identified source/build evidence.