Development

开发入口

SandIAM 的权威源码是 supdger/sand-iam。宿主安装副本用于部署和验收；开发从所选 revision 的独立源码仓与贡献说明开始。

找到要改的部分

目标	源码位置	先确认的边界
API、身份、策略与审计	plugin/sand-iam/	PostgreSQL、应用隔离、稳定错误码；业务资源由应用定义
管理页面	sandadmin-artd/src/views/plugin/sand-iam/	管理员权限与管理范围，实际宿主前端发布入口
应用用户门户	portal/	应用用户会话，不消费后台管理员会话
客户端契约	sdk/php/、sdk/typescript/、sdk/dart/	同时核对请求、错误码、秘密一次性交付和重试语义
数据结构与生命周期	migrations/、lifecycle/、根 SQL	已发布迁移不可改，追加迁移和精确升级前提
发布输入	release-build-contract.json、tools/package-payload-policy.php	clean commit、锁文件、生成范围和许可材料

公开详细文档统一维护在本 Wiki；仓库保留 README、CHANGELOG、贡献与安全入口，以及直接约束源码的产品、授权与 P0 契约。本次源码整改后的后续构建通过 README 链接本 Wiki，不再复制整套指南。已公开 v0.8.3 的 1053 条目 ZIP 保留原载荷，本轮不重打包或替换发行件。离线操作前应从匹配版本的 Wiki 获取指南；迁移前说明见 历史文档。工具入口与构建边界见 构建与校验。

安全的本地起点

以下命令从匹配源码的 sand-iam/ 目录执行，要求已有 PHP 与锁定依赖。它们只检查文件、发布载荷和 SBOM，不连接数据库或启动服务：

php tools/check-package-integrity.php
php tools/check-release-payload.php
php tools/generate-sbom.php --check

命令必须正常结束，并保留报告中未检查的部分。它们不证明安装、浏览器、外部协议或业务副作用已经通过。SDK 与 consumer 的检查入口见PHP、TypeScript、Dart和具体示例页。

数据库、服务启停、宿主同步、签名、提交、推送和发布分别按实际任务授权执行。本页不是这些动作的自动授权。贡献提交采用 DCO：由实际贡献者提供真实 Signed-off-by，不得代签。

提交问题或贡献

说明可复现的触发条件、预期结果、当前行为、版本、错误码与脱敏 request ID；保留正向、拒绝、撤销和审计验证。安全问题按匹配版本包中的 SECURITY.md 私下报告，不公开令牌、密码、个人数据、私钥或数据库备份。

文档首页 · 排障

长期运行边界与已冻结能力见 开发运行契约。