用途：为同一系列（如子域名家族）的多个应用接入统一身份与中央账户库，使一个人在所有应用中共用一个账户，登录一次即可被识别；同时按应用逐个授予访问权，权限随使用逐步累积，而非全有或全无。用户可从任一应用或中央门户注册，两条路径都写入中央账户。
主要能力：区分两层——身份（谁）由共享身份提供方签发统一用户 ID，跨子域名 SSO；授权（能用什么）存于中央账户库，以共享用户 ID 为键，按应用记录，默认拒绝。提供接入新应用的顺序清单、架构说明、授权模型与示例。
使用方式：先具备共享身份提供方实例、中央账户库与 API、已发布的平台契约；再按 references/onboarding-checklist.md 逐步接入：先检查应用现状，确认使用共享提供方密钥，为中央库添加客户端并请求指定令牌模板，接入访问门禁，注册到中央目录，设置环境变量，部署并验证。
适用场景：多应用共享登录、按应用开通、从门户或应用内注册。
限制与注意：共享 Cookie 仅限同一父域的子域名；生产密钥常锁定域名，本地需用开发密钥；令牌受众需按服务配置模板，否则中央库静默拒绝；环境变量名不得冲突；中央调用应隔离并幂等，失败开放需配合部署后回读验证；首次激活标记须持久化，不能仅存内存；跨根域需另建身份实例或付费桥接。具体命令与代码示例见资料引用文件，本文未展开。