Refresh tunnel actions promptly and clarify Feishu OIDC setup

docs/specs/SDD-001-openvpn-oidc.md

@@ -4,7 +4,7 @@
 |------|------|
 | 版本 / 变更级别 | 0.1 / S3（身份认证、部署） |
 | 设计状态 | Draft |
-| 实现状态 | 已实现本地集成；待 Linux + 飞书环境联调 |
+| 实现状态 | OpenVPN WebAuth 配置与认证组件进程管理已实现；真实飞书登录仍待 OIDC 提供方、HTTPS 入口和组件部署联调 |
 | 负责人 / 日期 | 待指定 / 2026-10-20 |
 | 关联需求 | 创建 OpenVPN 专线时配置飞书 OIDC 浏览器认证 |
 | 批准状态 | 未批准；用户已明确要求开始开发 |
@@ -70,3 +70,10 @@
 |------|----------|----------|
 | 飞书租户是否公开标准 OIDC discovery / ID token | 阻塞真实联调，不阻塞本地实现 | 先从飞书应用或身份代理获取 issuer 并校验 discovery；不兼容时使用 Keycloak/Authentik 代理 |
 | 是否需要按 LDAP 用户逐一授权 OIDC | 不阻塞第一版 | 首版仅信任身份源应用的可用范围；逐一绑定必须引入稳定 subject 的独立授权方案 |
+
+### 2026-10-21 接入核查与发布边界
+
+- 飞书应用的 App ID/Secret 是**飞书上游**应用凭据。若使用 Keycloak / Authentik，先在代理中配置飞书上游和其专用回调，再在代理中创建供 `openvpn-auth-oauth2` 使用的 OIDC 客户端；向导中的 issuer、Client ID/Secret 全部从代理获取。仅当飞书本身确实发布可用的 OIDC discovery、JWKS 与 ID Token 时，才能直接使用飞书提供的 issuer 和对应的客户端凭据。OpsX VPN 当前不提供签名密钥、OIDC discovery 或 ID Token，`http://<管理主机>:18080` 不能充当 issuer。
+- 对外回调为 `https://<认证入口>/oauth2/callback`，由 `openvpn-auth-oauth2` 处理；代理方案还要把**代理提供给飞书的上游回调**登记在飞书应用，两条回调不能互换。认证入口可与管理后台同机不同域名部署，需要 HTTPS 与完整认证组件路由转发，`127.0.0.1:19090` 不对公网开放。
+- 2026-10-21 服务器检查：OpenVPN 2.6.19 已安装；`openvpn-auth-oauth2`、Nginx/Certbot 和 80/443 监听均未检测到。未安装组件、准备可访问的 issuer、TLS 证书、飞书应用发布与授权之前，不切换现有运行中的 OpenVPN 专线到 OIDC。先用独立测试专线验证允许与拒绝、断线重连，再变更生产线路。发现失败时停止测试专线并保留原密码专线，不将缺失组件视为已完成登录联调。
+- 飞书应用密钥曾出现在交互截图中，管理员应轮换后仅输入后台密钥框；仓库、文档、日志和测试均不得包含实际密钥。