74 lines
3.3 KiB
Markdown
74 lines
3.3 KiB
Markdown
# Business Plugin V1 实现边界与验收
|
||
|
||
状态：控制面入口已实现；业务插件按包独立接入
|
||
|
||
## 1. 唯一入口
|
||
|
||
`plugins/plugin-admin` 是通用 Business Plugin V1 控制面。它的首页和默认菜单只能表达“插件管理”，不表达任何具体业务域，也不默认打开订阅、支付或其他业务页面。
|
||
|
||
控制面负责：
|
||
|
||
- 展示已登记、已安装和可升级的插件包；
|
||
- 校验清单、签名、文件哈希和 Core 兼容性；
|
||
- 安装、启用、停用、升级、回滚、卸载和配置；
|
||
- 显示运行状态、健康检查结果和操作审计；
|
||
- 对插件声明的管理员菜单执行预览和应用。
|
||
|
||
控制面不负责：
|
||
|
||
- 订阅商品、余额、订单、支付、配额或请求计费；
|
||
- 任何业务插件自己的页面和领域数据；
|
||
- Core 数据库、Core 用户表或 `.s2plugin` transport ABI。
|
||
|
||
## 2. 安装后注入流程
|
||
|
||
```text
|
||
管理员登录 plugin-admin
|
||
|
|
||
v
|
||
插件目录 -> 上传/选择业务插件包
|
||
|
|
||
v
|
||
清单 + 签名 + 哈希 + Core 兼容性校验
|
||
|
|
||
v
|
||
安装到独立 revision，初始为 disabled
|
||
|
|
||
v
|
||
启用 -> 启动独立服务端口 -> healthz/readyz/版本检查
|
||
|
|
||
v
|
||
菜单预览 -> 管理员确认 -> 应用 custom_menu_items
|
||
|
|
||
v
|
||
Core 管理员菜单出现该插件自己的入口
|
||
```
|
||
|
||
每个插件使用自己的 `plugin_id`、版本、端口、服务进程、UI 和菜单 ID。停用或卸载插件时，只移除该插件自己声明的菜单项，不触碰其他插件或 Core 数据。
|
||
|
||
## 3. 订阅插件的位置
|
||
|
||
`plugins/subscription-admin` 是第一个业务插件样例，而不是控制面。它只有在管理员通过 `plugin-admin` 安装、启用并应用菜单后才出现。卸载订阅插件只删除插件资源和自身投影，不删除 Core 的套餐、订阅、余额、订单、用量或审计。
|
||
|
||
订阅插件的 V1 只读取 Core 现有管理员 API；余额购买、续费、撤销和退款写操作必须等待版本化 Core 原子接口，不得把多个 Admin API 拼成一次购买。
|
||
|
||
## 4. 登录与安全边界
|
||
|
||
- 控制面和业务插件均复用 Core 管理员登录及 2FA，不创建插件用户表；普通 Core 用户统一拒绝。
|
||
- 浏览器只持有插件自己的 HttpOnly 会话和 CSRF token；Core access/refresh token、Admin Key 只存在插件服务端。
|
||
- 插件后端通过精确 allowlist 调用 Core API，不提供任意 URL 代理，不连接 Core PostgreSQL/Redis。
|
||
- 插件包必须签名；未签名包仅限开发环境 loopback 测试。
|
||
|
||
## 5. 功能验收最小条件
|
||
|
||
1. 打开 `plugin-admin` 首屏看到插件目录，而不是订阅页面。
|
||
2. 未安装订阅包时，目录可以为空，左侧不会出现订阅菜单。
|
||
3. 安装并启用一个包后，详情页显示该包的状态、版本和健康结果。
|
||
4. 菜单预览只新增该包自己的菜单项；应用后 Core 管理员菜单才出现该入口。
|
||
5. 停用或卸载后入口消失，其他菜单保持不变。
|
||
6. 425px、900px、1440px 三种视口均无横向溢出、遮挡或凭据泄漏。
|
||
|
||
## 6. 后续插件模板
|
||
|
||
新增业务插件只需提供独立清单、服务、UI、Core API allowlist 和菜单声明，并遵守本文件的安装生命周期。插件管理控制面不因新增业务域而增加订阅、支付或其他领域分支。
|