이슈 #457
진행중Stronger capability APIs — design spike (ADR-0010)
설명
Phase 4-2 직후, 강한 capability(서명/결제/회전/위임)의 설계 지도 + 우선순위를 고정하는 스파이크. 구현 없음, 보안 경계 설계만.
작업¶
- docs/adr/0010-stronger-capability-apis.md (Status: Proposed)
- 현재 capability 모델 정리 (manifest permissions, CapabilityClaims, runtime_path, aud_origin, gateway 검증 순서)
- 3종 분리: rotation/revocation, explicit-approval(signing/payment), multi-app delegation
- 이번에 Accepted하는 invariants: off-by-default, manifest 선언 필수, token만으로 강한 권한 실행 금지, signing/payment는 per-action approval record, delegation은 issuer/audience/scope/expiry 명시
- 후속 MR 분할: A(session/rotation) / B(approval envelope) / C(delegation)
후속¶
- MR A/B/C는 각각 별도 이슈/ADR 갱신
관련¶
- relates #449 (Phase 4-2 / ADR-0009), ADR-0004 capability boundary, ADR-0007 agent session
- 코드/리뷰는 GitLab MR, 본 이슈는 링크/상태만 유지
HP Henry Park이(가) 5달 전에 변경
- 상태을(를) 신규에서 진행(으)로 변경되었습니다.
MR !7 (ADR-0010 design spike): open, in review.
https://git.alphea.io/Alphea-Dev/alphea-edge-core/-/merge_requests/7
Docs only (Proposed). On merge → Resolved; MR A/B/C implementation tracked separately.
Status → In Progress.
HP Henry Park이(가) 5달 전에 변경
- 상태을(를) 진행에서 해결(으)로 변경되었습니다.
- 진척도을(를) 0에서 100(으)로 변경되었습니다.
MR !7 merged to main (merge fb4c6e1). Re-review: no remaining findings (two P2s on approval-binding and delegation attenuation addressed in bbfcea1).
https://git.alphea.io/Alphea-Dev/alphea-edge-core/-/merge_requests/7
ADR-0010 (Proposed) is in main: design map + locked invariants + MR A/B/C split. Implementation slices tracked separately, starting with MR A (capability session / rotation).
Status → Resolved.
HP Henry Park이(가) 5달 전에 변경
- Subtask에 #458이(가) 추가되었습니다.
HP Henry Park이(가) 5달 전에 변경
- Subtask에 #459이(가) 추가되었습니다.
HP Henry Park이(가) 5달 전에 변경
- Subtask에 #460이(가) 추가되었습니다.
HP Henry Park이(가) 5달 전에 변경
All three implementation slices have landed: MR A #458 (ADR-0011 capability session/rotation), MR B #459 (ADR-0012 approval envelope), MR C #460 (ADR-0013 delegation). docs/adr/0010 is now Accepted. C5 stronger-capability design complete.
Remaining future work behind these gates (separate issues when scheduled): cross-app fs route using AuthorizeDelegatedAccess, and the actual signing/payment providers behind the approval envelope.