AccessToken 表示一条已签发 access token 的持久化记录。

AccessTokenCacheEntry 是 access token 在缓存中的元数据投影。

AdminResetPasswordInput / Result 表示后台重置用户密码动作的输入输出。

AdminUnlockUserInput / Result 表示后台解锁用户账号动作的输入输出。

App 是启动阶段产出的顶层运行对象。 当前只暴露 Router，因为这个二进制的唯一职责是提供 HTTP 服务； 如果未来需要优雅停机、后台任务或健康探针对象，也可以继续在这里扩展。

AssignRoleRequest 描述把某个角色授予用户/主体时需要的输入。 privilege_mask 允许在继承角色默认权限之外做额外收窄或扩展， tenant_scope 则把授权限定在某个租户/命名空间内。

AuditEventRepository 定义审计事件的写入与分页查询接口。

AuthMiddleware 负责把 Bearer Token 校验结果注入 Gin 上下文。 它位于 HTTP 边界层，因此只做协议相关判断，不直接碰业务仓储。

AuthnMethod 定义了“一个可插拔登录方式”最小需要提供的能力。

AuthnMethodType 是登录方式插件的稳定标识。 应用层通过这个枚举选择认证策略，而不是直接依赖具体实现类型。

AuthnRegistry 是认证方式插件的查找表。 应用层只关心“按 method type 找到实现”，不需要知道具体是密码、联邦 OIDC 还是别的方式。

AuthorizationCodeCacheEntry 是授权码在缓存中的最小状态投影。

AuthorizationCodeCacheRepository 预留给 authorization code 的缓存层优化。 当前主流程更多依赖数据库一次性消费，但这里保留了短时缓存接口以备扩展。

AuthorizationCodeRepository 抽象 authorization code 的创建与一次性消费。 ConsumeByCode 的语义通常隐含“读并标记已消费”，以防 code 被重复兑换。

AuthorizationCommand 是 authorize endpoint 传给应用层的规范化授权请求。

AuthorizationResult 描述 authorize 请求下一步应该发生什么： 去登录、去 consent，或者直接回调 client。

AuthorizationService 负责 OAuth2 Authorization Code 流程中的“前半段”： 在用户已登录的前提下校验客户端、scope、PKCE 和 consent， 然后签发一个短生命周期的 authorization code 交给前端回跳。

AuthorizeRequest 对应 `/oauth2/authorize` 的查询参数视图。

Claims 是 OIDC/JWT claims 的轻量 map 视图。

ClaimsAssembler 预留给 token claims 组装策略的抽象。 目前尚未细化具体方法，因此先作为将来扩展点保留。

ClientAuthMethodType 对应 OAuth2 token endpoint 常见的 client authentication 方法。

ClientAuthenticator 定义一种具体 client auth 方法的校验接口。

ClientRepository 定义 OAuth/OIDC 客户端注册信息的持久化接口。

ConsentDecisionRequest 是 consent 页提交“允许/拒绝”时的输入结构。

ConsentRepository 负责记录“某个用户是否已经对某客户端/某组 scope 授权过”。

CreateClientRequest 对应后台创建 OAuth2/OIDC client 的输入载体。 这层只负责把 HTTP 表单/JSON 绑定成结构体，真正的默认值补齐、 grant/auth method 兼容性校验和 secret 存储策略都在应用层处理。

DeviceAuthorizeRequest 是 device authorization endpoint 的输入结构。

DeviceCodeEntry 表示一条设备授权流程的缓存记录。 它会在 pending -> approved/denied -> consumed 之间迁移状态。

DeviceCodeRepository 定义 OAuth2 Device Authorization Grant 在缓存层需要的状态操作。

DeviceVerifyRequest 是浏览器端 device verification 页提交的输入结构。

DiscoveryDocument 对应 `/.well-known/openid-configuration` 的响应结构。

EndSessionHandler 实现 OIDC RP-Initiated Logout 的浏览器交互。 它负责展示确认页、校验 post_logout_redirect_uri，并在退出后把用户送回 RP。

EndSessionRequest 对应 OIDC RP-Initiated Logout 请求参数。

Error 对应 OAuth2 规范定义的错误响应结构。