资源与凭证治理
MAWflow 把原先分散的服务器、服务、凭证和本机能力入口收口为“资源凭证”。这里管理的是公开元数据、授权关系和安全证据，不是第二套 SecretStore，也不会在普通页面展示密码、私钥、访问令牌或完整连接串。
先区分 Server 与 Host
| 对象 | 表达什么 | 典型用途 |
|---|---|---|
| Server | 被项目访问的业务服务器 | 部署应用、承载数据库、提供网关或存储 |
| Service | Server 上的数据库、Redis、应用等服务 | 绑定服务级凭证和项目目标 |
| Access Profile | 如何访问某台 Server | SSH、SFTP、WinRM 或 RDP 的公开连接策略 |
| Credential Binding | 某个 Credential 被允许用于哪个 Resource | 服务器访问、数据库登录、Redis 登录 |
| Host / Node | 运行 MAWflow 任务的执行设备 | 领取获批凭证、运行探针、回传签名证据 |
Host 不等于 Server：个人电脑可以是 Host，但不必作为业务服务器登记；业务服务器也不因被登记就自动成为执行 Host。
两条推荐关系
服务器 SSH 按下面的关系管理：
text
Server → Access Profile → 服务器 SSH Credential
↘ 系统托管 Binding数据库和 Redis 按下面的关系管理：
text
Server → Service → 兼容 Credential
↘ 服务分配托管 BindingAccess Profile 与托管 Binding 在同一事务保存、更新或撤销。更换凭证会使旧关系、相关健康证据和匹配租约失效，并要求重新检查。普通用户不需要理解或手写通用 Binding Payload。
本机与云端入口
本地产品工作台一级入口为：
text
工作首页 / 项目空间 / 资源凭证 / 本机能力 / 个人设置云端产品工作台一级入口为：
text
工作首页 / 项目空间 / 我的工作 / 资源凭证 / 组织协作 / 个人设置两端都使用中文展示环境、状态、凭证类型、绑定角色和用途。稳定 Key 只在详情和审计中作为辅助标识，不代替用户可理解的标题。
项目环境运行矩阵
项目矩阵把每个 Requirement 的以下事实放在同一行：
- 需要的凭证类型和已选凭证；
- 目标 Server 或 Service；
- 本机与云端执行面；
- 执行 Host；
- 有效用途；
- 健康证据；
- 最终 readiness 与阻塞原因。
只有凭证、资源、Host 授权、健康和生产保护同时满足时，页面才显示“可以使用”。自动化检查不是人工验收；高风险生产动作仍需独立审批。
安全边界
- 页面和公开投影不包含 Secret Value、私钥片段、完整连接串、绝对路径或原始日志。
- 本机 Endpoint 只在本机授权界面使用，不进入云端公开投影。
- 其他账号不可见的资源 Key、Access Profile 和项目引用不会通过凭证反向关系泄露。
- 系统托管 Binding 必须从所属 Access Profile 或 Service Assignment 修改。
- Git、AI 和 SaaS 凭证通常显示“无需分配”，不会因没有业务服务器关系被误报异常。