Garden 使用说明内置组件
说明图画廊
六张 garden compose 说明图：RBAC、SSO、认证分层、API 六维、Agent 策略点和 OAuth 授权码。
下面六张都是 garden compose。颜色只走主题变量。窄屏把图里的横排收成一列。
1零件怎么拼
| 图上的结构 | 写法 |
|---|---|
| 浅底通栏（Role、IdP、第 ② 和 ⑤ 步、Agent） | card，frame: band。两种强调色是 tone: accent 和 tone: tip |
| 小胶囊（用户浏览器） | card，frame: pill |
| 无框的标题加一句灰字 | card，frame: text，或 title + text |
| 带边框的白卡 | card |
| 圆圈序号 | badge 写成 ① |
| 盾牌 | mark: shield |
| 一根向下的箭头 | arrow: down |
| 并排散开的几根箭头 | fan，后面接同样列数的 row |
| 中间写字的 V 形连接 | join。两臂接到同一个顶点，再垂下一小段 |
| 泳道、虚线和来回箭头 | lanes。字在线上方。forward 和 back 是两种强调色 |
| 脚注 | text，tone: muted |
| 两列两行 | 两个 row，每个里面两格 |
浅底只包住被强调的那一层。居中的 stack 里，脚注要靠左就写 align: start。
2RBAC
User
Alice
Bob
Role
管理员
审核员
Permission
orders:read
orders:approve
角色连接用户和权限
概念关系：User ↔ Role ↔ Permission
3SSO
用户浏览器
Identity Provider（IdP）统一完成身份验证、维护登录状态、签发身份断言
HR 系统
Finance 系统
Project 系统
三个系统都信任同一个身份提供方
4认证分层
①浏览器 / AppCookie、Session、OAuth Client
②身份服务 IdP / IAMPasskey、MFA、OIDC、会话管理
③BFF / API Gateway会话验证、Token 校验、入口授权控制
④业务服务订单、支付、账户、资源对象
⑤授权决策系统RBAC + ABAC + ReBAC + Policy Engine
逻辑职责示意：并非所有请求都按此顺序经过各层。身份服务通常在登录阶段交互，业务服务则在请求执行时调用授权决策能力。
5API 的六个维度
用户发起 API 请求
例如：修改订单收货地址
认证
你是谁？
Authentication
凭证
如何证明你的身份？
Credential
授权
你有权修改这笔订单吗？
Authorization
验证
提交的数据是否合法？
Verification
业务操作与数据存储
传输网络中能否被窃听、篡改、冒充？
保密敏感数据泄露后能否被读取？
概念示意：六者并不是严格串行的执行阶段，传输保护贯穿网络通信，保密措施也可能覆盖客户端与服务端。
6Agent、策略点与工具
User Intent + Authorization
明确任务目标、用户身份与授权范围
Agent / LLM负责理解、推理、规划和提出执行意图
Untrusted ContextMemoryTool Results
Policy Enforcement Point
独立于 LLM 的确定性执行控制
权限与资源范围
操作参数校验
任务意图约束
高风险操作审批
Tool Executor
按最小权限执行、记录审计、支持中断
7OAuth 授权码 + PKCE
用户
客户端
授权服务器
① 点击登录 / 授权用户 → 客户端
② 发起授权请求 + PKCE客户端 → 授权服务器
③ 用户身份验证与授权授权服务器 → 用户
④ 重定向返回 Code授权服务器 → 客户端
⑤ Code + Verifier 换 Token客户端 → 授权服务器
⑥ 返回 Token授权服务器 → 客户端
简化示意：真实流程还包含浏览器跳转、回调绑定、授权码及令牌校验等细节。