龙虾 · 银行智能中台架构方案

关键场景走查

场景 1：客户经理查客户征信（B2E 典型场景）

触发: 客户经理在信贷系统输入 "查张三的征信"
    │
渠道: 信贷系统 (Channel=credit-system, Auth=mTLS+SSO)
    │ Header: End-User-Type=EMPLOYEE, User-Id=EMP-00342, Data-Scope=BRANCH
    ▼
龙虾 Gateway:
    │ Layer 0 预过滤:
    │   规则1: credit-system → 允许信贷/风控/查询类接口
    │   规则2: EMPLOYEE → 允许内部员工工具集
    │   规则3: 客户经理+对公 → 对公信贷类 + 通用查询
    │   规则4: 北京分行 → 北京分行可见的服务
    │   规则5: 已开通CBS,CRM → CBS+CRM的API
    │   规则6: BRANCH → 可查本支行客户数据
    │   规则7: 合规评级HIGH → 全部工具可用
    │   → 30万 → 约1200个候选工具
    │
    │ 意图提取: "查征信" → {intent:征信查询, domain:credit, entity:个人客户}
    │ 混合检索: 在1200个候选内 → Top-100
    │ 精排: → Top-15 → 注入Agent
    │
    ▼
Agent: 选择 cbs_query_credit_report(idNumber="110101...")
    │ 调用前: PermissionMiddleware 验证:
    │   ✓ 客户经理可查征信 (角色权限)
    │   ✓ 张三在北京分行范围内 (数据范围)
    │   ✓ 信用查询是读操作 (自动放行)
    ▼
ServiceInvoker → CBS核心信贷系统 → 返回征信报告
    │ 审计中间件记录: EMP-00342 | credit-system | query_credit_report | 北京分行 | SUCCESS
    ▼
Agent: "张三征信评分720分，共有3笔贷款记录..."  (脱敏展示)

场景 2：C端客户查贷款额度（B2C 典型场景）

触发: 对私客户在手机银行问 "我能贷多少钱"
    │
渠道: 手机银行 (Channel=mobile-bank, Auth=密码+设备指纹)
    │ Header: End-User-Type=RETAIL_CUSTOMER, User-Id=CUST-88231, Data-Scope=SELF
    ▼
龙虾 Gateway:
    │ Layer 0 预过滤:
    │   规则1: mobile-bank → 仅限电子渠道开放的接口（不含柜面/内部专用）
    │   规则2: RETAIL_CUSTOMER → 仅限C端客户可见工具
    │   规则3: 对私客户 → 对私产品类工具
    │   规则6: SELF → 仅限本人数据（硬限制）
    │   → 30万 → 约300个候选工具
    │
    │ 意图提取: "我能贷多少钱" → {intent:贷款额度查询, domain:retail_loan}
    │ 混合检索: 300候选 → Top-50
    │ 精排: → Top-10 → 注入Agent
    │
    ▼
Agent: 选择 retail_query_loan_limit(customerId="CUST-88231")
    │ 调用前: PermissionMiddleware 验证:
    │   ✓ 数据范围=SELF → 只能查 CUST-88231 本人的贷款信息
    │   ✓ 渠道=mobile-bank → 贷款额度查询是开放接口
    │   ✗ 如果Agent试图调 "修改贷款额度" → DENY（写操作 + 渠道认证强度不够）
    ▼
ServiceInvoker → 零售信贷系统 → 返回额度信息
    ▼
Agent: "您目前的可用额度为30万元，其中信用贷20万、抵押贷10万..."

场景 3：跨渠道数据泄漏防御（安全关键场景）

攻击假设：攻击者获取了手机银行的合法Token（C端客户身份），试图通过龙虾查询非本人数据。

攻击路径: 手机银行Token → 龙虾 → 构造请求查他人征信

防御层次:
  ① Data-Scope=SELF → 硬限制，只能查 CUST-88231 本人
  ② Layer 0 预过滤 → tool_definitions 的 data_scope 字段 = SELF 的工具
     只有"本人可查"标签的接口才出现在候选池
  ③ PermissionMiddleware → 工具调用前再次校验:
      请求的 customerId 必须 == Context.endUserId
      不匹配 → DENY + 告警
  ④ SensitiveDataMiddleware → 即使绕过（理论上不可能），输出脱敏
  ⑤ AuditMiddleware → 全量记录: 谁、什么时候、从哪个渠道、调了什么、返回了什么

结论: 5层纵深防御。即使单层被突破，后续4层仍可拦截。