Correct Feishu login scope for OpenVPN OIDC

docs/specs/SDD-007-built-in-feishu-issuer.md

@@ -70,7 +70,7 @@
 
 ## 8. 飞书应用引导与查询错误诊断（S3）
 
-当前 `tenant/v2/tenant/query` 失败时统一显示“请确认应用已开通企业信息读取权限”，掩盖接口路径、调用方式、应用发布状态、权限和网关拒绝等不同故障。页面需要针对企业自建应用给出最小配置步骤：凭据页 App ID/Secret；权限管理查找企业信息读取（`tenant:tenant:readonly`，以控制台实际名称为准）并发布版本；安全设置登记系统显示的精确 HTTPS 飞书回调；网页授权准备 `user_profile` 范围和应用可用范围。自动读取企业标识失败允许手填，但不能把未核实的企业标识视为认证成功。
+当前 `tenant/v2/tenant/query` 失败时统一显示“请确认应用已开通企业信息读取权限”，掩盖接口路径、调用方式、应用发布状态、权限和网关拒绝等不同故障。页面需要针对企业自建应用给出最小配置步骤：凭据页 App ID/Secret；权限管理查找企业信息读取（`tenant:tenant:readonly`，以控制台实际名称为准）并发布版本；安全设置登记系统显示的精确 HTTPS 飞书回调；网页授权所需权限和应用可用范围。最初页面错误地将 `user_profile` 称为飞书范围，第 10 节修正为飞书用户基础信息权限。自动读取企业标识失败允许手填，但不能把未核实的企业标识视为认证成功。
 
 后端只回显飞书返回的数字错误码与 HTTP 状态，不回显第三方原始 `msg`、访问令牌或凭据；页面保留错误提示以便管理员根据飞书错误码排查，不再把所有错误归因于权限。验收：模拟 `code != 0`、非 2xx、无响应码，区分令牌与企业查询阶段且不泄露上游原始信息；前端引导能看到精确回调、自动查询权限与发布要求；构建和身份模块测试通过。发布先构建和测试，再按现有 `/tmp` 双备份流程部署并检查 HTTPS、401 和 Nginx；恢复为上一版二进制，保留数据库与身份配置。
 
@@ -81,3 +81,9 @@
 专线启动、停止、自动启动、运行中更新、删除及批量状态变更后，依据现有唯一运行中且公网域名匹配的 OIDC 专线刷新受管站点；串行执行刷新，避免并发 Nginx 写入。仅允许现有严格的回环端口代理，不改变其他路径的 444。刷新失败时专线实际状态仍以数据库为准，向操作方明确报告“专线状态已改变、路由同步失败”，不要谎称 VPN 启动失败或放行宽泛路径。
 
 验收：启动后自动出现 `/oauth2/` 转发，停止或删除最后一条专线后移除，重复操作不改变配置；公网无 state 的 `/oauth2/start` 由空响应变为认证组件的 400，Nginx -t 成功；模拟冲突/同步失败时有可见警告。发布先备份二进制、构建和测试，再部署并检查运行中专线不被管理进程重启干扰；恢复为先前二进制并通过设置页手动同步路由，不修改数据库或证书。
+
+## 10. 飞书授权范围修复与连接超时排查（S3）
+
+生产中 OpenVPN 客户端已接入 TCP 1194，认证组件发送 WebAuth 并等待 60 秒；此前 `/oauth2/` 入口的 444 已修复。隔离浏览器对内置发行者的合成请求跳到飞书错误页 `20043`：`user_profile 有误`，实际返回 `invalid_scope`。代码在 `handlers.go` 将 `user_profile` 写入飞书授权链接，设置页也错误地指导管理员启用它。参考项目 `/Users/logan/devops/demo/id/Feishu-OIDC-Workers` 使用飞书权限 `contact:user.base:readonly` 获取用户基础资料，替换无效范围，并在页面清楚区分企业信息查询权限与浏览器登录授权权限。OpenVPN OIDC 模式通过飞书 `tenant_key` 和 `open_id` 识别用户，不自动读取 VPN 拨号用户目录；如需逐用户允许名单须另行设计，不在本次导入飞书用户。
+
+验收：单元测试验证生成的飞书授权链接包含新的权限范围、不再包含 `user_profile`；现有令牌/JWKS/用户信息测试、前端构建通过；上线后授权链接跳转路径和无 state 入口验证通过。真实飞书授权仍需应用批准该权限、发布并由用户本人完成登录；未经本人授权不得宣称已跑通完整 VPN 连接。发布前备份旧二进制、发布后检查健康与 Nginx；可回退到旧二进制但将恢复无效范围，须停止测试专线或等待修复。