ctms/docs/audits/auth-session-acceptance.md

Auth Session Acceptance Checklist

Status: active Scope: auth-session Last Updated: 2026-03-30

1. Active user 60 minutes without logout

• 登录后持续操作 60 分钟，观察 token 多次 /auth/extend 且不会跳登录

2. Auto-extend near expiry

• 人工缩短 token 有效期或等待 exp < 2min
• 保持操作，确认 /auth/extend 被调用且业务不中断

3. Single-flight extend

• 同时触发 10 个 API 请求
• 仅出现 1 次 /auth/extend，其余请求自动重放成功

4. Idle lock at 30 minutes

• 30 分钟无鼠标/键盘/触摸/滚动且无任何请求
• 出现锁屏，背景虚化，原页面状态保留

5. Unlock success

• 锁屏输入正确密码，解锁成功并继续原页面

6. Unlock failure threshold

• 连续错误密码 >= 5 次
• 强制登出并跳登录页

7. Extend failure to lock

• 人为让 token 彻底过期，/auth/extend 返回 401
• 不跳登录，进入锁屏并要求密码解锁

8. 403 permission vs disabled

• 权限不足接口返回 403 时不跳登录
• /auth/extend 或 /auth/unlock 返回 403 时强制登出跳登录