PON auth-service — Đăng nhập, phát JWT và một request có JWT (auth-service → chat/ai/connector → client) Diagram

Đường đậm: đăng nhập → 2FA (nếu cần) → auth-service tạo session trong Redis và ký JWT có sẵn claims RBAC → client gọi chat/ai/connector kèm Bearer → service tự verify.
JWT là HS256 ký bằng JWT_ACCESS_SECRET dùng chung cho 4 service (compose.mini truyền cùng một biến). Không có JWKS, không gọi về auth-service khi verify.
Nhưng không thuần stateless: mọi validator (jwt.strategy auth, SharedJwtStrategy ai/connector, SessionValidator Java) đều HGETALL sess:{sid} để xem revoked và claimsAt. Java cache snapshot tối đa 5s.

Access token 15 phút (JWT_ACCESS_EXPIRES): sub, sid, role (tên), perms (danh sách capability bật từ permission matrix của role), depts (id phòng ban), iat/exp. Không role → fallback preset Member.
Refresh token opaque dạng v{n}.random, chỉ lưu argon2 hash trong sess:{sid} (TTL 30 ngày = REFRESH_TOKEN_TTL_SECONDS). Rotate bằng Lua CAS: trùng hash cũ trong 60s = race lành (REFRESH_TOKEN_ROTATED, client thử lại); quá 60s = trộm → REFRESH_TOKEN_REUSE, revoke session (REFRESH_REUSE_REVOKE_ALL=true mới revoke cả user).
2FA: Owner/Admin-like (role Owner/Admin hoặc có MANAGE_WORKSPACE/MEMBERS/ROLES) bắt buộc, member khác tuỳ chọn. mfaToken TTL 5 phút, sai 5 lần thì burn, OIDC SSO bỏ qua (IdP lo). Google: callback phát login_code một lần → client POST /auth/exchange mới nhận token.

Admin đổi role/phòng ban (updateMember), sửa permission matrix (role.update → mọi người giữ role), hoặc SSO group mapping → markClaimsStale: Lua HSET claimsAt = now+1 trên mọi sess của user, rồi PUBLISH auth:claims-changed {userId}.
Validator: iat < claimsAt → 401 TOKEN_CLAIMS_STALE (session vẫn sống). Client coi như hết hạn: refresh một lần (single-flight, web khoá bằng Web Locks giữa các tab), ký lại với claims mới (iat ghim ≥ claimsAt), retry. chat-service ClaimsChangedListener evict cache 5s và đẩy {type: CLAIMS_CHANGED} vào /user/queue/notifications → web refetch query theo quyền + reconnect STOMP.
Ngược lại khi block / đổi mật khẩu / reuse: revokeAllSessions → revoked=1 + PUBLISH auth:sessions-revoked → chat-service đóng socket ngay; token tiếp theo nhận SESSION_REVOKED → client forceLogout.

Đăng ký + OTP email xác minh, quên/đặt lại mật khẩu, nhận lời mời (invitation accept), OIDC SSO chi tiết (oidc.service), MFA enroll (QR + backup codes), logout (revokeSession chính sid của token), đổi mật khẩu revoke thiết bị khác.
Throttle: endpoint nhạy cảm 5 req/phút/IP, /auth/refresh giới hạn theo session. lastSeenAt chỉ ghi khi quá 60s. Khoá brute-force theo email đã normalize: MAX_FAILED_ATTEMPTS=5, LOCKOUT_DURATION=300s.
Doc lệch code: tài liệu dự án mô tả auth-service là 'JWT, OTP, refresh token, user search' — không nhắc 2FA bắt buộc theo role, Require SSO, claims-stale; mã lỗi SessionStatus Java phải khớp tay với AuthCode TypeScript (không sinh tự động).