V2 独立版已交付

用户与会话管理

HeteroFlow 是本站的异构算力与大模型调度产品。用户与会话管理。覆盖大模型平台的成员账户增删改、敏感操作二次确认与登录会话治理：降级动作在同一事务吊销全部会话、租户停用秒级断流；大量疑似网关故障的 401，其实是会话治理在按预期工作，先查这一篇。

> 覆盖大模型平台的成员账户增删改、敏感操作二次确认与登录会话治理：降级动作在同一事务吊销全部会话、租户停用秒级断流；大量疑似网关故障的 401，其实是会话治理在按预期工作，先查这一篇。

管理员添加成员（用户名 + 密码 + 显示名）、设置角色；新成员默认钱包额度为 0，须先加额度才能调用（这里的钱包额度与月度限额是两套体系，见配额与限流）。

额度调整三种模式：加额度 / 减额度 / 覆写为指定值，每次调整写审计。

降级（demote）是一个整体动作：角色回落普通用户 → 清空自定义授权 → 吊销该用户全部会话，在一个事务里完成。被降级用户正在用的会话下一跳即 401——这是预期行为，重新登录后按新角色访问。

删除分两种，必须分清：

入口	行为	可逆性
成员账户页「删除」	软删（记录保留供审计），同时吊销其 API 凭据与全部会话	数据层可恢复
管理删除接口	物理删除，另删认证数据	不可恢复

创建管理员、删除用户、查看渠道完整密钥等敏感操作，须先完成安全验证：弹窗输入登录密码换取一张一次性凭据（proof），随请求携带执行。凭据有效期约一分钟、最多消费一次、与操作类型绑定——连续做第二个敏感操作或停留超时都会提示重新验证。例行编辑（改显示名等）不需要二次确认。

这个设计把「拿到一个登录态就能横着走」的窗口压到最小：敏感动作必须证明「知道密码本身」，而不只是「手里有一个会话」。

会话有上限（默认数十个活跃会话/用户）：超限时登录被拒，提示「活跃登录会话数量已达上限」——用户可在「个人资料 → 安全 → 登录会话」里「退出其他会话」自助腾位，也可逐个撤销；
同账号新登录互吊销：同一账号再次密码登录会吊销既有会话——排障遇到 401 AUTH_SESSION_REVOKED，先查是不是被自己的新登录（或管理员的降级/停用操作）顶掉，属预期非故障；
刷新令牌只存摘要：会话表保存刷新凭据的摘要而非明文，数据库侧泄露也还原不出可用凭据；
会话列表可见登录方式、IP、设备与时间，异常会话可单独撤销。

表现	最可能的原因
浏览器端登录态突然全部失效	账号被禁用 / 被降级 / 身份源停用信号命中——重新登录确认账号状态
单设备掉线，其他设备正常	该会话被单独撤销，或会话数满了
API 调用 401 但浏览器正常	密钥问题而非会话问题，见密钥管理

账户侧的敏感动作（建号、降级、删除、额度调整、查看密钥）全部写审计日志，纳入哈希链防篡改体系——谁在什么时候对账号做了什么，事后可查且改不了。审计体系全貌见审计与日志。