spring:
  cloud:
    gateway:
      routes:
        # 认证中心
        - id: jnpf-oauth
          uri: lb://jnpf-oauth
          predicates:
            - Path=/api/oauth/**
          filters:
            - StripPrefix=2
        # 系统基础服务
        - id: jnpf-system
          uri: lb://jnpf-system
          predicates:
            - Path=/api/system/**
          filters:
            - StripPrefix=2
        # lims 业务服务
        - id: jnpf-lims
          uri: lb://jnpf-lims
          predicates:
            - Path=/api/lims/**
          filters:
            - StripPrefix=2
        # lims 兼容路由：前端 dist 与 DB 数据接口仍用 /api/extend/**（69 处硬编码），
        # 退役条件见 docs/superpowers/specs/2026-07-18-eln-module-design.md §7
        - id: jnpf-lims-legacy
          uri: lb://jnpf-lims
          predicates:
            - Path=/api/extend/**
          filters:
            - StripPrefix=2
        # eln 业务服务（空壳占位，profile 起用）
        - id: jnpf-eln
          uri: lb://jnpf-eln
          predicates:
            - Path=/api/eln/**
          filters:
            - StripPrefix=2
        # 审计追踪（2026-08-11 搬入 jnpf-biz-common，cx-audit 退役）。
        # **路由与前缀刻意保持不变**：uri 直接指向 biz-common，/api/audit/** 继续可用，
        # 前端与 42 个回归脚本零改动。审计能力因此有两条入口——本条与下面的 /api/biz/**，
        # 都落到同一个服务，不冲突。
        - id: jnpf-audit
          uri: lb://jnpf-biz-common
          predicates:
            - Path=/api/audit/**
          filters:
            - StripPrefix=2
        # 公共业务能力聚合服务（统一前缀 /api/biz/**：新增能力零网关改动，
        # 形如 /api/biz/onlyoffice/xxx → StripPrefix=2 → 服务内 /onlyoffice/xxx）
        - id: jnpf-biz-common
          uri: lb://jnpf-biz-common
          predicates:
            - Path=/api/biz/**
          filters:
            - StripPrefix=2
        # DMS 文档管理服务
        - id: jnpf-dms
          uri: lb://jnpf-dms
          predicates:
            - Path=/api/dms/**
          filters:
            - StripPrefix=2
        # 报表服务
        - id: jnpf-datareport
          uri: lb://jnpf-datareport
          predicates:
            - Path=/api/datareport/**
          filters:
            - StripPrefix=2
        # 🔴 表单外链专用路由（2026-08-11 平台聚合）。**必须排在下面 jnpf-visualdev 通用路由之前**
        # ——网关按配置顺序取第一个匹配项，放到后面就永远匹配不到。
        # 起因：聚合后 visualdev 的 ShortLinkController 与 message 的在同一 JVM 内路径相撞
        #（详见 VisualdevShortLinkController 类注释），故把它的内部路径改名为 /VisualdevShortLink。
        # 这里用 RewritePath 原样重写，保证**对外路径 /api/visualdev/ShortLink/** 一字不变**，
        # 已生成并发出去的表单外链继续有效。正则里 (?<segment>/?.*) 的可选斜杠是为了让
        # PUT /api/visualdev/ShortLink（无尾段）也能正确重写成 /VisualdevShortLink。
        - id: jnpf-visualdev-shortlink
          uri: lb://jnpf-visualdev
          predicates:
            - Path=/api/visualdev/ShortLink/**
          filters:
            - RewritePath=/api/visualdev/ShortLink(?<segment>/?.*), /VisualdevShortLink$\{segment}
        # 可视化开发服务
        - id: jnpf-visualdev
          uri: lb://jnpf-visualdev
          predicates:
            - Path=/api/visualdev/**
          filters:
            - StripPrefix=2
        # 工作流服务
        - id: jnpf-workflow
          uri: lb://jnpf-workflow
          predicates:
            - Path=/api/workflow/**
          filters:
            - StripPrefix=2
        # 文件服务
        - id: jnpf-file
          uri: lb://jnpf-file
          predicates:
            - Path=/api/file/**
          filters:
            - StripPrefix=2
        # 多租户
        - id: jnpf-tenant
          uri: lb://jnpf-tenant
          predicates:
            - Path=/api/tenant/**
          filters:
            - StripPrefix=2
        # 消息
        - id: jnpf-message
          uri: lb://jnpf-message
          predicates:
            - Path=/api/message/**
          filters:
            - StripPrefix=2
        # 任务调度
        - id: jnpf-scheduletask
          uri: lb://jnpf-scheduletask
          predicates:
            - Path=/api/scheduletask/**
          filters:
            - StripPrefix=2
        # 权限
        - id: jnpf-permission
          uri: lb://jnpf-permission
          predicates:
            - Path=/api/permission/**
          filters:
            - StripPrefix=2
        # 大屏
        - id: jnpf-visualdata
          uri: lb://jnpf-visualdata
          predicates:
            - Path=/api/blade-visual/**
          filters:
            - StripPrefix=2
        # app
        - id: jnpf-app
          uri: lb://jnpf-app
          predicates:
            - Path=/api/app/**
          filters:
            - StripPrefix=2
        # 工作流表单
        - id: jnpf-flowForm
          uri: lb://jnpf-flowForm
          predicates:
            - Path=/api/flowForm/**
          filters:
            - StripPrefix=2


#接口放行地址 与GatewayWhite中的默认URL合并
gateway:
  #禁止访问
  block-url:
    # 审计写端点 /Internal/** 只供服务间 Feign 调用（直连 lb://jnpf-audit，不经网关）；
    # 经网关的外部请求一律 AD101 禁止访问，堵任意登录用户伪造投递审计事件（append-only 完整性）。
    # AuthFilter 的 block 检查在鉴权链最前、匹配的是 StripPrefix 前原始路径 /api/audit/Internal/**。
    # 服务侧 AuditInternalController 另有 SA-SAME-TOKEN 校验兜底（双保险，见该类注释）。
    - /api/audit/Internal/**
    # Discovery Locator 自动路由标准路径：bootstrap-dev.yml discovery.locator.enabled=true +
    # lowerCaseServiceId=true 会为每个注册服务生成 /jnpf-audit/**，绕过上面的 /api/audit/** 前缀 →
    # 补堵其 /Internal 写端点标准路径（小写服务名，与 lowerCaseServiceId 生成形态一致）。
    # 大写变体 /JNPF-AUDIT/Internal/** 实测在下游 Spring MVC 因路径大小写敏感 404（不达 record()），
    # 双斜杠变体经平台"非法请求"过滤器拦截，均不落库；服务侧 SAME-TOKEN 是权威边界，此处只覆盖数据面标准路径。
    - /jnpf-audit/Internal/**
    # DMS Internal 端点仅允许服务间直连；服务侧仍必须校验 SA-SAME-TOKEN。
    - /api/dms/Internal/**
    - /jnpf-dms/Internal/**
    # 🔴 2026-08-11 audit 搬入 jnpf-biz-common 后**新增的两条到达路径**，缺一条就是绕过缺口：
    #   · /api/biz/Internal/**   —— biz-common 的对外前缀 /api/biz/** 同样 StripPrefix=2，
    #     `/api/biz/Internal/audit/events` 去掉两段后正是服务内的 `/Internal/audit/events`；
    #   · /jnpf-biz-common/Internal/** —— Discovery Locator 按新服务名生成的标准路径
    #     （原 /jnpf-audit/** 那条仍需保留：discovery.yaml 里 jnpf-audit 作为别名依然注册）。
    # 设计文档 2026-08-07-biz-common-design.md §4.2 预先写明了"出现 Internal 端点必须同时加两条"，
    # 这里是它第一次真正生效。
    - /api/biz/Internal/**
    - /jnpf-biz-common/Internal/**
  #不验证Token, 记录访问
  white-url:
    # OnlyOffice 编辑保存回调（平台补丁 #9）：DS 既不是 JNPF 服务（注入不了 SA-SAME-TOKEN）
    # 也无登录态，直连服务端口按 L042 必被 inner-auth 拒，故只能经网关且必须放行。
    # 放行不等于裸奔——转发阶段的 MvcSecurityConfig#getMyHeadersFilter 与白名单相互独立，
    # 仍会注入 INNER_GATEWAY_TOKEN；真正的安全边界是服务侧对 OnlyOffice 回调 JWT 的验签。
    # ⚠️ 只放行 callback 这一条精确路径，不可扩成 /api/biz/onlyoffice/**
    #   （config 端点会下发 securityKey，必须保持登录态保护）。
    - /api/biz/onlyoffice/callback
    # ELN 模板填写数据：无登录 token，安全边界是端点内部的 8 小时专用 Ticket 校验。
    - /api/eln/onlyoffice/template-fill/data
  #- /api/message/Notice
  #- /api/permission/Users/*
  #放行不记录
  exclude-url:
  #禁止访问地址的白名单IP
  white-ip:
  #- 192.168