oati

# OATI ### 企业代理之间的可信交易 **开放代理信任基础设施（OATI）** 是由 [Intelliger](https://intelliger.ai) 制定的开放标准，用于识别企业代理，表达短期委托权限，强制执行交易约束，并生成跨组织边界的可验证操作收据。 API凭证可以证明代理可以连接。OATI描述了**谁拥有代理，代理以谁的权限行事，当前可以执行什么操作，以及证明交易的有效证据**。 - 网站：`https://intelliger.ai/oati` - 公共查询：`https://intelliger.ai/oati/lookup` - 机器API：`https://api.intelliger.ai/oati/v1` - 许可证： [Apache 2.0](LICENSE) - 状态： **开发者预览** ## 为什么需要OATI 企业控制分散在身份提供者、网关、策略引擎、数据平台、合同、支付和审计系统之间。一个有效的令牌本身并不能揭示负责的组织、当前的委托目的、下游数据限制、商业权限或相互可验证的证据。 OATI将这些问题绑定到一个可移植的交易模型中： ```text 已验证的组织 + 代理护照 + 短期授权 + 交易信封 + 确定性决策 + 签名操作收据 ``` OATI补充了OAuth、OIDC、SPIFFE、AuthZEN、Cedar、OPA、MCP和A2A，但不取代它们。 ## 核心对象 | 对象 | 答案 | |---|---| | **代理护照** | 这个代理是谁，谁操作它，这个声明如何现在被验证？ | | **代理授权** | 哪些确切的权限被委托，谁委托的，目的是什么，什么时候到期？ | | **交易信封** | 正在评估哪些操作、资源、目的地、上下文和证明？ | | **授权决策** | 交易是被允许、拒绝、转换还是发送审批，并且在哪个策略下？ | | **操作收据** | 在哪个权限和控制下发生了什么，以及可以稍后检查哪些签名证据？ | 中心不变性是**非放大**：委托的授权可以保留或减少权限，但绝不能默默地扩大权限。 ## 领域配置文件 OATI配置文件添加了严格的领域语义，同时保留了相同的核心身份、权限、策略和证据模型。 ### Commerce 0.1 — 付费API和数字服务 第一个Commerce工作流程允许企业代理根据卖方发布的报价和买方颁发的购买授权购买一个API请求。它限制了商家、服务、报价、货币、价格、预算、数量、目的、目的地和数据使用。 - [配置文件规范](specification/profiles/commerce/) - [付费API快速入门](guides/commerce/quickstart.md) - [可运行对象](examples/commerce/) - [可执行一致性套件](conformance/) ### RWA 0.1 — 受控代币铸造 第一个RWA工作流程允许在当前资产状态声明、授权角色、匹配的资产和代币详细信息以及所需批准阈值的约束下，进行有界、一次性的代币铸造。 - [配置文件规范](specification/profiles/rwa/) - [受控铸造快速入门](guides/rwa/quickstart.md) - [可运行对象](examples/rwa/) - [一致性向量](conformance/rwa/) ## 五分钟开始 要求：Go 1.24+。 ```bash git clone git@github.com:Intelliger-ai/oati.git cd oati # 验证包含的代理护照 go run ./cli/cmd/oati validate passport ./examples/passport.json ``` ## CLI 安装开发者预览CLI： ```bash go install github.com/Intelliger-ai/oati/cli/cmd/oati@main ``` 然后验证、规范化或解析OATI记录： ```bash oati validate passport ./examples/passport.json oati canonicalize ./examples/passport.json oati lookup --type agent --id oati:agent:intelliger:commerce-demo oati sign --algorithm EdDSA --key ./private.jwk \ --verification-method oati:key:example:2026-07 \ --audience https://service.example \ --nonce 01K0EXAMPLE000000000000000 \ --expires 5m ./examples/commerce/transaction-envelope.json oati evaluate ./evaluation-request.json oati commerce validate-offer ./examples/commerce/merchant-service-profile.json oati commerce validate-receipt \ --mandate ./examples/commerce/purchase-mandate.json \ ./examples/commerce/commerce-receipt.json oati rwa validate-mint-mandate \ --claim ./examples/rwa/asset-state-claim.json \ ./examples/rwa/mint-mandate.json ``` 当前CLI已准备好进行对象验证、fixtures、确定性JSON处理、查询集成、分离JWS签名、信任验证、委托子集证明、非放大和确定性Commerce/RWA权限评估。参见 [CLI文档](cli/README.md)。 ## 仓库映射 | 路径 | 目的 | |---|---| | [`specification/`](specification/) | 规范标准和协议配置文件 | | [`schemas/`](schemas/) | 版本化的JSON Schemas | | [`examples/`](examples/) | 有效的示例对象和交易 | | [`cli/`](cli/) | 开发者CLI | | [`sdk/`](sdk/) | TypeScript参考SDK以及共享一个一致性套件的Python和Go SDK | | [`conformance/`](conformance/) | 共享的fixtures、测试向量和兼容性测试 | | [`docs/`](docs/) | 端到端教程、错误处理和迁移策略 | | [`api/lookup.openapi.yaml`](api/lookup.openapi.yaml) | 用于客户端生成的公共查询API合同 | | [`integrations/envoy/`](integrations/envoy/) | 关闭的Envoy ext_authz和OPA参考集成 | | [`ARCHITECTURE.md`](ARCHITECTURE.md) | 系统边界和部署模型 | ## 公共查询和隐私 查询服务解析组织、代理、护照、授权、收据、发行者、密钥和撤销状态。公共访问受到速率限制。 查询是**隐私审查的投影**，而不是OATI平台记录的无限制视图。授权和收据仅暴露批准的元数据、状态、摘要、发行者信息、时间戳和验证材料，除非选择性披露授权允许更多。 生产查询UI和服务由私有OATI平台仓库运营。开发者可以集成公开的 [`OpenAPI合同`](api/lookup.openapi.yaml)，使用CLI查询客户端或实现兼容的解析器。 ## 开源边界 该仓库旨在包含独立开发者实施和使用标准所需的一切： - 规范、schemas和示例； - SDK、验证器和CLI； - 一致性测试和测试向量； - MCP、A2A、OAuth、AuthZEN和网关适配器； - 查询客户端合同和测试fixtures； - 互操作性测试所需的中件软件。 Intelliger的生产查询服务、商业控制平面、策略编译器/编译器、数据发布引擎、商业配置文件编译器、证据和争议操作、企业集成、租户管理和网络运营仍保留在私有 `Intelliger-ai/oati-platform` 仓库中。 私有代码可以消耗公共OATI发布版本。公共代码永远不会依赖私有包。 ## 安全模型 OATI使用确定性系统进行授权和强制执行。人工智能可以帮助起草或解释策略，但它不是身份、签名、撤销、财务限制、策略部署或不可逆转操作的最终权威。 请勿在公共问题中报告安全漏洞。在发布专用安全地址之前，请通过 [intelliger.ai](https://intelliger.ai) 联系Intelliger。 ## 项目状态 该仓库是早期开发者预览版。核心和配置文件schemas、Commerce和RWA流程、功能性CLI和测试的TypeScript SDK现在涵盖了schema验证、查询、签名、信任验证、确定性权限评估、参考中间件以及MCP、A2A、OAuth/DPoP、AuthZEN、Cedar/OPA和Envoy适配器。版本化的可执行一致性套件涵盖了核心对象、规范化、密码学、权限评估和隐私投影。密码学和协议配置文件需要独立审查，并且附加的SDK语言仍在积极开发中。生产查询操作故意不在此仓库中。 兼容性声明必须引用发布的OATI版本和一致性套件版本。 首先使用 [验证您的第一个OATI请求](docs/tutorials/verify-first-request.md)，然后使用 [开发者文档索引](docs/README.md) 发布授权、生成收据以及集成Commerce、RWA、MCP或A2A。 ## 贡献 问题和设计讨论应确定受影响的对象、互操作性后果和拟议的一致性测试。对公共对象的更改需要schema更新和相应的fixture。 参见 [贡献者指南](CONTRIBUTING.md)，了解完整的本地质量门控命令、生成的档案策略和平台API兼容性过程。 通过贡献，您同意您的贡献根据Apache 2.0许可证。 ## 许可证和托管 OATI由Intelliger创建和维护，根据 [Apache License 2.0](LICENSE) 授权。该标准旨在无需购买Intelliger产品即可实施。