[Feature] [Service][Adapters] Adapters 安全加固

[openjiuwen-collaboration-bot]

🚀 背景描述

Adapters 层对 MCP/Remote(A2A)/Sandbox 三类外部服务仅有超时/重试/熔断/审计治理（ExternalCallExecutor 等），无传输安全与鉴权：AgentCoreExternalProperties 中 server 配置只有 URL/timeout，未含 TLS 证书与认证凭据。外部服务若开启 mTLS 或自定义鉴权（如 Token/签名），当前无法对接。需补充出站 mTLS 支持与鉴权扩展能力。

设计思路

• 在 AgentCoreExternalProperties 的 McpServer/RemoteClientEndpoint/SandboxServer 增加安全子配置（tls.keystore/truststore/client-auth、auth.type/token/header/credentials-ref）。
• 出站 HTTP client（MCP transport、A2A SDK client、Sandbox client）注入统一构建的 SSLContext 与鉴权拦截器；复用 common 层证书加载工具。
• 为各类Client提供鉴权扩展 SPI（如 ExternalAuthenticator），支持开发者按 Server 维度注入自定义鉴权所需要准备的header/参数的逻辑。

涉及到的对外API

• 新增 openjiuwen.service.external.{mcp,remote,sandbox}.servers[].tls.* 与 servers[].auth.* 配置。
• 无 Java 公共 API 破坏性变更。

与其他模块的相关性描述

• 与"App 安全加固"共用证书/TrustStore 抽象。
• DecoratingMcpClient/DecoratingRemoteClient/DecoratingSandboxClient 透传安全配置。
• CredentialDecryptor（common 层已有）可复用于凭据解密。

测试设计与测试计划

• 功能：对接开启 mTLS 的 mo

[openjiuwen-collaboration-bot]

已完成 Issue 24/25 测试检视意见的闭环处理，摘要如下。

完成内容

Issue 24（APP 安全加固）

生产修复：

• A2aJsonRpcController / A2AMessageContext：HTTP 租户 Header 写入 ServerCallContext，A2A 业务链可读到 x-user-id 等
• FineGrainedAuthorizerBootstrapValidator：多个 FineGrainedAuthorizer Bean 时 fail-fast

新增/扩展测试（8 类 + 支撑）：

• allow 路径、TLS+鉴权组合、400/503 回归、A2A 租户与错误分层、TLS 握手与 AOP 隔离、并发隔离、Header 边界、开关组合与多 Bean UT

主要不接纳项及理由：

• WebFlux TLS（设计仅 Servlet）
• AOP 缺依赖（需无 starter-aop 的独立 classpath）
• 握手期 4 类坏证书 / TLS 协议版本（成本高，延后）

Issue 25（Adapters 安全加固）

新增/扩展 UT（common 模块）：

• ExternalAuthMaterialMergerTest（+6）：明文 token、header 类型、Remote/Sandbox 场景、extensions、解密失败、SPI 异常
• ExternalHttpClientFactoryTest、SslContextFactoryTest、OutboundTlsTestCertificates
• ExternalTlsConfigResolverTest：global 关 + inline TLS

主要不接纳项及理由：

• 三类双向 mTLS / 仅 TLS·仅 auth E2E / 审计脱敏 / verify-hostname 等 → 依赖 mock HTTPS 与日志捕获，适合在 demo outbound-security 扩展，本次以 UT 补强核心逻辑

验证

上述 Issue 24 新增 IT 与 Issue 25 新增 UT 均已通过 mvn test。