┌─────────────────────────────────────────────────────────────┐
│                      接入层 (Gateway Cluster)                │
│  WebSocket Server (Nginx + Node.js/Go/Rust)  × N            │
│  - TLS 终止  │  负载均衡  │  连接鉴权  │  心跳保活  │  降级分发 │
└─────────────────────────────────────────────────────────────┘
                              │
              ┌───────────────┼───────────────┐
              ▼               ▼               ▼
┌──────────────────┐ ┌──────────────────┐ ┌──────────────────┐
│  会议状态服务     │ │  权限决策服务     │ │  消息路由服务     │
│  (Stateful Set)  │ │  (Stateless)     │ │  (Kafka/Pulsar)  │
│  - 会议元数据     │ │  - RBAC/ABAC引擎 │ │  - 主题分区      │
│  - 角色映射表     │ │  - 策略缓存      │ │  - 顺序保证      │
│  - 版本向量       │ │  - 审计日志      │ │  - 死信队列      │
└──────────────────┘ └──────────────────┘ └──────────────────┘
              │               │               │
              └───────────────┼───────────────┘
                              ▼
┌─────────────────────────────────────────────────────────────┐
│                      数据层                                   │
│  Redis Cluster (热点缓存/分布式锁/发布订阅)  +  PostgreSQL   │
│  (持久化/审计/复杂查询)                                       │
└─────────────────────────────────────────────────────────────┘

// 权限变更指令 (服务端 → 客户端)
message PermissionDelta {
  string meeting_id = 1;
  uint64 version = 2;                    // 全局单调递增版本号
  string operator_id = 3;                // 操作者 ID
  repeated RoleChange changes = 4;       // 变更集合
  int64 timestamp = 5;                   // 服务端时间戳(ms)
  string trace_id = 6;                   // 全链路追踪 ID
}

message RoleChange {
  string user_id = 1;
  RoleType old_role = 2;
  RoleType new_role = 3;
  repeated PermissionFlag added = 4;     // 新增权限位掩码
  repeated PermissionFlag removed = 5;   // 移除权限位掩码
  ChangeReason reason = 6;               // 变更原因枚举
}

// 客户端确认回执 (客户端 → 服务端)
message Ack {
  string meeting_id = 1;
  uint64 version = 2;                    // 确认的版本号
  string client_id = 3;
  bool success = 4;
  string error_code = 5;                 // 失败时填充
}

sequenceDiagram
    participant Host as 主持人客户端
    participant GW as 网关
    participant Auth as 权限决策服务
    participant State as 会议状态服务
    participant MQ as 消息总线
    participant Attendee as 参会者客户端

    Host->>GW: POST /api/meeting/{id}/role (变更请求)
    GW->>Auth: 校验操作者权限 & 策略评估
    Auth-->>GW: 允许/拒绝 + 计算后的新权限集
    GW->>State: 乐观锁 CAS 更新角色映射表 (version+1)
    State->>MQ: 发布 PermissionDelta (topic: meeting.{id}.perm)
    MQ->>Attendee: 推送至所有在线订阅者
    Attendee->>GW: 发送 Ack (version)
    GW->>State: 标记版本确认完成

[IDLE] ──收到 Delta(v)──▶ [PENDING_APPLY]
    ▲                        │
    │                        ▼
    │                 应用本地权限树
    │                        │
    │                        ▼
    │                 [WAIT_ACK] ──发送 Ack(v)──▶ [IDLE]
    │                        │
    │              超时未收到服务端确认
    │                        ▼
    └──────────── [RECONCILE] ◀── 发起全量同步请求

// 伪代码：客户端重连与状态追赶逻辑
func (c *Client) onReconnect() {
    // 1. 携带最后确认版本建立新连接
    conn := dialWebSocket(c.meetingID, c.lastAckedVersion)
    
    // 2. 服务端补发增量 (若版本差 < 阈值)
    //    否则走全量同步接口 GET /meeting/{id}/permission/snapshot?since={v}
    
    // 3. 并行校验本地关键权限位 (发言/共享/录制)
    //    若不一致 → 强制刷新对应 UI 组件，避免「以为有权实则无权」的幻觉态
}

// Rust 示例：位掩码权限判断 (零分配、分支预测友好)
#[repr(u32)]
#[derive(Copy, Clone, PartialEq, Eq)]
enum Perm {
    Speak       = 1 << 0,
    ShareScreen = 1 << 1,
    Record      = 1 << 2,
    ManageUser  = 1 << 3,
    // ... 扩展至 32 位
}

#[inline(always)]
fn has_perm(user_mask: u32, required: Perm) -> bool {
    (user_mask & required as u32) != 0
}

// 批量判断 (SIMD 友好)
fn batch_check(masks: &[u32], required: Perm) -> Vec<bool> {
    masks.iter().map(|&m| has_perm(m, required)).collect()
}

{
  "audit_id": "audit_7f9a2c1e-4b3d-4f8a-9e2d-1a2b3c4d5e6f",
  "event_type": "MEETING_ROLE_PERMISSION_CHANGE",
  "timestamp": "2024-05-20T10:30:00.123Z",
  "actor": {
    "user_id": "enc_usr_A1B2C3",          // FPE 密文
    "role": "HOST",
    "ip": "203.0.113.45",
    "device_fingerprint": "fp_sha256_..."
  },
  "target": {
    "meeting_id": "enc_mtg_X9Y8Z7",
    "affected_users": ["enc_usr_D4E5F6"],
    "changes": [
      {"field": "role", "from": "ATTENDEE", "to": "CO_HOST"},
      {"field": "permissions", "added": ["MANAGE_USERS", "RECORD"], "removed": []}
    ]
  },
  "context": {
    "version": 1024,
    "trace_id": "trace_abc123",
    "risk_score": 15,                    // 实时风控评分
    "policy_hit": ["POL_001_HIGH_PRIV_ESCALATION"]
  },
  "result": "SUCCESS",
  "signature": "MEUCIQD..."               // SM2/Ed25519 签名，防篡改
}

# 规则示例：高危权限变更二次确认
rule "HighPrivilegeEscalationRequireMFA"
  when
    $change: RoleChange(new_role in [CO_HOST, ADMIN] && added contains RECORD)
    $ctx: Context(actor.mfa_verified == false && meeting.scale > 100)
  then
    blockAndChallenge($change, "REQUIRE_MFA", "大型会议提升录制权限需二次验证");
end

# 规则示例：异地登录后权限操作限速
rule "GeoVelocityAnomalyThrottle"
  when
    $ctx: Context(actor.geo_distance_km > 500 && actor.time_since_last_login_min < 30)
  then
    throttle($ctx.actor.user_id, 5, 60); # 限制 5 次/分钟
end

┌────────────────────────────────────────────────────────────┐
│                    业务层 (TypeScript / Dart / Kotlin / Swift) │
│  - UI 状态管理  │  事件分发  │  平台能力调用 (相机/麦克风/通知) │
└────────────────────────────────────────────────────────────┘
                              │
                    ┌─────────┴─────────┐
                    ▼                   ▼
┌───────────────────────────┐ ┌───────────────────────────┐
│   WASM Module (Rust)      │ │  Native Dynamic Library   │
│  (wasm32-unknown-unknown) │ │  (cdylib: .so/.dylib/.dll)│
│  - 权限状态机             │ │  - 权限状态机 (同源码)     │
│  - 版本向量对账           │ │  - 版本向量对账           │
│  - Protobuf 编解码        │ │  - Protobuf 编解码        │
│  - 加密/签名算法          │ │  - 加密/签名算法          │
└───────────────────────────┘ └───────────────────────────┘
                    │                   │
                    └─────────┬─────────┘
                              ▼
              ┌───────────────────────────────┐
              │      统一测试套件 (cargo test) │
              │  - 单元测试  │  模糊测试       │
              │  - 属性测试  │  兼容性矩阵     │
              └───────────────────────────────┘

// shared-worker.js
let socket = null;
const ports = new Set();

self.onconnect = (e) => {
  const port = e.ports[0];
  ports.add(port);
  port.onmessage = (msg) => handlePortMessage(port, msg.data);
  port.start();

  if (!socket) initSocket(); // 单例连接
};

function broadcast(data) {
  ports.forEach(p => p.postMessage(data));
}

// 收到服务端推送
socket.onmessage = (event) => {
  const delta = PermissionDelta.decode(event.data);
  // 1. 持久化 IndexedDB (事务内更新 version + permissions)
  // 2. 广播给所有标签页
  broadcast({ type: 'PERMISSION_DELTA', payload: delta });
};

单网关最大连接数 (C_max) = min(
  OS_File_Descriptor_Limit * 0.8,
  Memory_GB * 1024 / Per_Connection_Memory_KB,
  CPU_Cores * 10000 / Avg_CPU_Per_10k_Conn
)

目标会议并发支撑 (M_target) = C_max / Avg_Conn_Per_Meeting * Gateway_Replicas * (1 - Safety_Margin)

# .gitlab-ci.yml 片段
chaos_validation:
  stage: validate
  image: chaosiq/chaostoolkit:latest
  script:
    - chaos run experiment/meeting_permission_resilience.yaml
    - python scripts/verify_slo.py --report chaos_report.json
  rules:
    - if: $CI_PIPELINE_SOURCE == "schedule"  # 每日定时跑
    - if: $CI_COMMIT_TAG =~ /^vd+.d+.d+$/ # 发版前强制跑

用户请求
    │
    ▼
┌─────────────────────────────────────┐
│         Nginx / APISIX Ingress       │
│  - 解析 Cookie: x-canary-version    │
│  - Header: x-gray-tag: "perm_v2.3"  │
└─────────────────────────────────────┘
    │                    │
    ▼                    ▼
┌─────────────┐    ┌─────────────┐
│  Gateway    │    │  Gateway    │
│  v2.2 (稳定) │    │  v2.3 (金丝雀)│
│  权重 95%   │    │  权重 5%    │
└─────────────┘    └─────────────┘
    │                    │
    └────────┬───────────┘
             ▼
    ┌─────────────────────┐
    │  共享 Redis Cluster │
    │  (连接映射表不分版本)│
    └─────────────────────┘

# 权限模型配置 (存储于配置中心，版本化管理)
permission_model:
  version: "3.1.0"
  roles:
    - id: HOST
      label: "主持人"
      priority: 100
      base_permissions: [ALL]
    - id: CO_HOST
      label: "联席主持人"
      priority: 80
      base_permissions: [MANAGE_USERS, RECORD, SHARE_SCREEN, SPEAK]
      constraints:
        - "count_per_meeting <= 5"
    - id: INTERPRETER
      label: "同声传译员"
      priority: 60
      base_permissions: [SPEAK, HEAR_ALL_CHANNELS]
      dynamic_permissions:
        - condition: "meeting.has_interpretation == true"
          grant: [MANAGE_AUDIO_CHANNELS]
  permissions:
    - id: SPEAK
      label: "发言权限"
      category: "AUDIO"
      ui_hint: "mic_icon"
    - id: MANAGE_USERS
      label: "人员管理"
      category: "ADMIN"
      risk_level: "HIGH"
      audit_required: true
  transitions:
    - from: [ATTENDEE, SPEAKER]
      to: CO_HOST
      require_approval: true
      approver_role: HOST
      notify_template: "tpl_promote_cohost"

// 客户端权限变更 Toast 国际化 Key 设计
const PERMISSION_I18N_KEYS = {
  ROLE_CHANGED: 'meeting.permission.role_changed',           // "您的角色已变更为 {newRole}"
  PERMISSION_GRANTED: 'meeting.permission.granted',          // "获得权限: {permissions}"
  PERMISSION_REVOKED: 'meeting.permission.revoked',          // "失去权限: {permissions}"
  HIGH_RISK_WARNING: 'meeting.permission.high_risk_warning', // "⚠️ 高危操作: {action}，需主持人确认"
  NETWORK_RECONCILING: 'meeting.permission.reconciling'      // "网络波动，正在同步权限状态..."
};

// 服务端下发模板 (支持 ICU MessageFormat)
{
  "key": "meeting.permission.role_changed",
  "locales": {
    "zh-CN": "您的角色已变更为 {newRole, select, HOST {主持人} CO_HOST {联席主持人} other {参会者}}",
    "en-US": "Your role changed to {newRole, select, HOST {Host} CO_HOST {Co-host} other {Attendee}}",
    "ja-JP": "役割が {newRole, select, HOST {ホスト} CO_HOST {共同ホスト} other {参加者}} に変更されました",
    "ar-SA": "تم تغيير دورك إلى {newRole, select, HOST {المضيف} CO_HOST {المضيف المشارك} other {الحضور}}"
  }
}