信任与合规
Autional 将安全与合规作为核心设计原则，而不是事后补充。
🔐
数据加密
所有敏感字段在静态存储时均以 AES-256-GCM 加密，支持密钥轮换。面向中国国家标准的合规场景提供 SM4-GCM。
🔒
密码安全
采用 argon2id 哈希，支持按租户配置 pepper。密码传输支持 ECDH 对称加密与 RSA 非对称加密。
📝
审计追踪
不可篡改的 Merkle 哈希链审计日志。每个认证事件都经过密码学链接，可验证。
🛡️
MFA 与访问控制
TOTP、WebAuthn/FIDO2、短信、邮件、推送 MFA。授权模型覆盖 RBAC + ABAC + ReBAC + PIM。
🌐
合规框架
为以下框架提供内置数据模型与工具：ISO 27001、PCI DSS、HIPAA、SOX、GDPR、PSD2、PIPL、等保 2.0。
🔑
密钥管理
集中式 secret-service 统一管理加密密钥、JWT 签名密钥与 API 密钥，敏感凭据不落业务代码。
🏗️
架构
27 个可独立部署的微服务。PostgreSQL、MongoDB、Redis、RabbitMQ。gRPC 服务网格配合 OpenTelemetry 链路追踪。
🔍
漏洞管理
定期依赖扫描、公开的漏洞披露渠道，以及内建于合规服务的安全审计发现跟踪。
合规免责声明
上述技术能力代表 Autional 的平台设计目标与内置工具。合规认证（ISO 27001、SOC 2、PCI DSS 等）由部署方自行负责。Autional 提供技术基础 —— 通过认证还需要组织自身的控制措施、审计与制度。