权限从身份到数据查询全程复核。

身份与会话

网页使用 OIDC Authorization Code + PKCE 登录，不在 Auxeo 自建密码库；浏览器不包含 client secret。

资源边界

Organization 是租户边界，Project 是业务边界，Resource/Binding/Responsibility Scope 决定成员能读取的账户、Page、Creative Center 等资产。权限不明确时默认拒绝。

数据与凭据

渠道凭据只以服务端密钥引用保存。Remote MCP 和 Ads Core 会分别校验用户身份与签名数据范围，普通成员不获得服务器、数据库或广告平台写权限。

审计与撤销

邀请、授权、角色变更和撤销写入组织审计记录；撤销成员会同步停用其有效 grants。