当特定律所租户遇到复杂业务疑难需要平台技术支持工程师远程协助排查时，传统的“向客户索要账号密码”或“开发私自直连修改生产数据库”的做法存在极其严重的数据合规漏洞与法律诉讼风险。

BitzOrcas.Modern 内置了工业级代客操作模拟（Operator Impersonation）沙箱体系：

短效双身份认证（Dual-Identity JWT）：由平台工单系统审批后签发带有真实 actorid（运维操作员）与目标 sub（被协助租户用户）的 15 分钟短效 JWT；
敏感操作失败关闭（Fail-Closed Sandbox）：10 级管道第 3 级 DelegatedSessionRestrictionPipelineBehavior 自动拦截所有标记了 IDelegationSensitiveRequest 的敏感操作（如修改密码、登记 MFA、重置 API 凭据）；
不可篡改双身份审计（Audit Envelope）：所有业务操作与审计日志中自动同时固化运维操作员与客户租户上下文，杜绝“狸猫换太子”。

本指南带你全面了解代客模拟的令牌签发、管道拦截与审计落盘机制。

代客模拟安全认证与审计时序图

第一步：申请与签发短效双身份模拟令牌

平台运维人员在 SaaS Host 控制台发起受控模拟申请：

# 1. 携带平台运维管理员 Token 发起受控模拟申请
# 2. 申请对目标律所租户签发 15 分钟短效双身份凭据
curl -X POST http://localhost:6881/api/identity/impersonation/start \
  -H "Authorization: Bearer YOUR_PLATFORM_ADMIN_TOKEN" \
  -H "Content-Type: application/json" \
  -d '{
    "targetTenantId": "lawfirm-alpha",
    "targetUserId": "USR-ALICE",
    "ticketNumber": "TICKET-2026-88902",
    "reason": "排查民商事案件立案阶段流转审批卡顿问题",
    "durationMinutes": 15
  }'

服务端签发的 JWT 内部声明关键的双身份 Claims：

sub: USR-ALICE（被排查的律所用户标识）
tenant: lawfirm-alpha（目标租户标识）
actortype: PlatformOperator（模拟沙箱主体类型）
actorid: OPS-001（真实运维操作员主键，用于审计归因）

第二步：管道层敏感请求拦截机制（DelegatedSessionRestrictionPipelineBehavior）

在 10 级线性执行管道的第 3 级 DelegatedSessionRestrictionPipelineBehavior 中，自动对模拟会话施加严格的安全限制。任何标记了 IDelegationSensitiveRequest 契约的消息（如重置密码、修改 MFA、变更绑定手机）在模拟状态下一律直接拒绝：

using System.Threading;
using System.Threading.Tasks;
using BitzOrcas.Application.Abstractions;
using BitzOrcas.Domain.Results;
using Mediator;

namespace BitzOrcas.Application.Pipelines;

/// <summary>
/// 在业务处理前拒绝模拟登录身份执行密码、MFA 与凭据类敏感请求
/// </summary>
/// <typeparam name="TMessage">声明敏感标记的消息类型。</typeparam>
/// <typeparam name="TResponse">可构造失败的结果响应类型。</typeparam>
public sealed class DelegatedSessionRestrictionPipelineBehavior<TMessage, TResponse>(
    ICurrentUser currentUser)
    : IPipelineBehavior<TMessage, TResponse>
    where TMessage : IMessage, IDelegationSensitiveRequest
    where TResponse : IResult<TResponse>
{
    /// <summary>
    /// 对普通身份放行，对模拟登录身份执行失败关闭
    /// </summary>
    public async ValueTask<TResponse> Handle(
        TMessage message,
        MessageHandlerDelegate<TMessage, TResponse> next,
        CancellationToken cancellationToken)
    {
        // 核心安全红线：只要当前处于代客模拟状态，禁止一切敏感凭据修改操作
        if (currentUser.User.IsImpersonating)
        {
            return TResponse.Failure(
                ApplicationErrors.Authorization.DelegatedSensitiveOperationDenied);
        }

        return await next(message, cancellationToken);
    }
}

第三步：不可篡改的双身份数据审计

当模拟会话下被允许的业务操作发生时，框架在第 9 级审计管道中自动捕获双身份，写入结构化不可篡改审计表：

{
  "auditId": "AUDIT-20260923-008821",
  "tenantId": "lawfirm-alpha",
  "userId": "USR-ALICE",
  "isImpersonated": true,
  "operatorId": "OPS-001",
  "action": "legal.matters.advance-stage",
  "resource": "MAT-2026-0001",
  "ipAddress": "192.168.1.102",
  "userAgent": "Mozilla/5.0 BitzOrcas/Modern OperatorConsole",
  "timestampUtc": "2026-09-23T04:20:00Z"
}

总结

代客模拟沙箱体系从协议层到管线层锁死了运维安全风险：

零密码泄露：运维人员全程无需接触客户密码凭据，会话到期自动作废；
敏感操作绝对免疫：通过 IDelegationSensitiveRequest 契约在管道第 3 级强行阻断越权篡改；
全链路归因留痕：双身份 Claims 贯穿审计与日志链路，确保任何违规操作 100% 可回溯、可审计。