能力开放平台（forge-plugin-capability-parent）
forge-plugin-capability-parent 是统一能力开放平台，基于能力模型与 SPI 把业务动作、流程动作、系统服务注册为可发现、可授权、可审计的开放能力。
子模块
| 子模块 | 职责 |
|---|---|
forge-plugin-capability-core | 协议无关的能力模型与 SPI |
forge-plugin-capability-platform | 控制面 + Identity + 开放网关 |
forge-plugin-capability-actions | Secure Actions + Flow Actions |
forge-plugin-capability-high-risk-approval | 版本化 KEK 载荷加密的高风险审批 |
核心 SPI
| 接口 | 职责 |
|---|---|
CapabilitySource | 能力来源 |
CapabilityExecutor | 能力执行器 |
CapabilityAuthorizationPolicy | 授权策略 |
ScopeBasedCapabilityAuthorizationPolicy | 基于范围（Scope）的授权策略 |
CapabilityInvocationObserver | 调用观察者 |
运行时
| 类 | 职责 |
|---|---|
CapabilityRegistry / InMemoryCapabilityRegistry | 能力注册表 |
CapabilitySchemaValidator / ValidatedCapabilitySchema | 能力 Schema 校验 |
GovernedOpenGatewayAdapter | 受治理的开放网关适配器 |
身份与令牌
| 类 | 职责 |
|---|---|
CapabilityOAuthClientConfigService | OAuth 客户端配置 |
CapabilityAuthorizationController | OAuth 授权端点 |
CapabilityAccessTokenService / CapabilityTokenController | 访问令牌签发与校验 |
CapabilityAccessTokenRetentionJob | 令牌留存清理任务 |