把 ABAC 判定做成 573 行的 lume 共享库,嵌进站点自己的进程:git submodule 保证多站点引擎单源一致,身份集中(kb-auth)、判定本地零网络,八步 fail-closed