# ADR-009 · 凭证加密方案

- 状态:已决(M1)
- 日期:2026-07-27
- 上下文:编码规范 §14 留白「凭证加密方案」,实现期再定、各建 ADR 后方可动工。
  约束来自 OS 7.3【凭证隔离(必须)】:**密钥与 endpoint 值只存治理台,不入包、不入活动、不入留痕明文**。
  作用面有二:LLM 实例的 API-Key(`llm`)与功能工具的连接配置(`toolbox`)。

## 决定

1. **算法**:AES-256-GCM,Node 内置 `node:crypto`,不引第三方加密库(§12.5#3)。
   密文格式 `v1.<iv-base64url>.<tag-base64url>.<cipher-base64url>` —— 版本前缀留给日后轮换。
2. **主密钥**:环境变量 `JCAI_SECRET_KEY`(32 字节,base64)。
   开发期缺省时**派生自固定开发盐**并在启动日志打醒目告警;`NODE_ENV=production` 缺失即**拒绝启动**。
3. **落点**:`SecretBox` 是端口(`seal` / `open`),实现在 app 层的 `internal/adapter` 之外的
   `apps/api/src/app/secret-box.ts`,由 app 注入 `llm` 与 `toolbox`。
   domain / usecase 只见密文串与 `SecretBox` 端口 —— 明文永不进 domain。
4. **出口纪律**:任何对外读模型(治理台 API、任务记忆、事件载荷、日志)一律**只回 `apiKeyBound: boolean`**,
   不回密文、不回明文。`llm` 的 `LlmInstanceView` 在 @contracts 里就没有明文字段 —— 结构上不可能泄漏。
5. **回放录制**:`sys.replay_*` 记录模型出入参,**入参中的 Authorization 头不落库** ——
   录制发生在 `ModelGateway` 的语义层(prompt / 参数 / 出参),不在 HTTP 层。

## 后果

- 密钥轮换 = 换 `JCAI_SECRET_KEY` 并重新绑定实例;`v1.` 前缀让日后支持多版本共存。
- 单组织 ≤50 人的预算下不引 KMS / Vault(OS 0.3:一切机制的复杂度预算以此为上限)。