# `naisi_create_login_credential`

创建 10～120 秒有效的 Login Credential，不建立登录、租户或权限上下文。

当前请求须先完成 naisi_is_ext_license_valid() 许可初始化。
payload 仅接受 uid、tenant_code、identity、scope、可选 act_uid/is_imp。
SaaS 必须提供 int 型 tenant_code：0 表示平台作用域，正整数须获租户许可；entcustom 的 tenant_code 可选。
uid/tenant_code/act_uid 为非负整数，identity 为 1～64 字节 UTF-8 标识。
scope 必须是 1～128 项连续索引字符串数组，每项 1～128 字节，匹配 [A-Za-z][A-Za-z0-9._-]*；
无权限需求时传 ['public']。内部用逗号拼接，验证输出恢复为数组。
有有效 act_uid 时强制保存 is_imp=true；无 act_uid 时拒绝 is_imp=true，false 则省略。
可选 Code 为 128 bit 随机 credential_id 的完整 22 位 Base62 编码，区分大小写。
PHP 负责 Code 映射存储、剩余 TTL、原子消费、防重放和最终 Session。

## 函数签名

```php
function naisi_create_login_credential(string $target, array $payload, string $salt, int $expired, ?string &$credential_code = null): false|string
```

## 调用前提

应用入口先调用 [naisi_is_ext_license_valid](/web/developers/naisilib/naisi-is-ext-license-valid) 并确认返回 `true`。认证 Agent 发布的许可与 heartbeat 快照，并建立或复用本请求的 BASIC 证明；不会读取许可文件或检查当前 Host。

授权类别：`LICENSE_EXPLICIT_TENANT`；执行模式：`BASIC`。许可不代替登录、租户或权限上下文；身份与数据要求见本页参数及用途说明。

## 参数

### `$target`

- 类型：`string`
- 必填：是
- 默认值：无
- 方向：输入参数。

Credential 目标系统标识，1～128 字节有效 UTF-8，不含控制字符；验证时逐字节匹配。

### `$payload`

- 类型：`array`
- 必填：是
- 默认值：无
- 方向：输入参数。

固定身份字段数组：必填非负整数 uid、非空 identity、1～128 项字符串列表 scope（每项 1～128 字节，匹配 [A-Za-z][A-Za-z0-9._-]*）；SaaS 必填 int 型 tenant_code，0 表示平台作用域，正整数须获租户许可；entcustom 可选非负整数 tenant_code；可选 act_uid 及 is_imp。有 act_uid 时覆盖 is_imp 为 true，无 act_uid 时仅接受省略或 false。未知字段失败。

### `$salt`

- 类型：`string`
- 必填：是
- 默认值：无
- 方向：输入参数。

恰好 16 字节的业务盐；密钥由扩展从内部 AES 密钥库随机选择。

### `$expired`

- 类型：`int`
- 必填：是
- 默认值：无
- 方向：输入参数。

有效期秒数，必须为 10～120；超出范围直接失败，不自动调整。

### `$credential_code`

- 类型：`?string`
- 必填：否
- 默认值：`null`
- 方向：引用输出参数；失败时清空，仅在成功后包含有效结果。

可选查询标识输出：成功为 22 位大小写敏感 Base62 字符串，失败为 null。 该参数按引用传递，调用结束后可能被写入输出结果。

## 返回值

类型：`false|string`

成功时返回结果字符串，失败时返回 false。

## 调用示例

当前请求须满足上方调用前提；请检查实际返回值和引用输出，随机结果及数据包内容以运行环境为准。

```php
// 当前请求先完成许可验证和业务签发授权。
$payload = ['uid' => 100000006, 'tenant_code' => 0,
    'identity' => 'operator', 'scope' => ['public']];
$code = null;
$credential = naisi_create_login_credential(
    'warehouse_pda', $payload, '1234567890abcdef', 60, $code
);
if ($credential === false) { throw new RuntimeException('创建失败'); }
// Code 映射、剩余 TTL 和原子消费由业务负责。
```

## 升级说明

当前签名用 16 字节的 `$salt` 字符串替代 `$encryption_config` 数组；密钥由扩展从内部 AES 密钥库选择。签发端和验证端须使用相同业务盐。旧调用需修改，已有令牌或 Credential 应重新签发并验证兼容性。

## 版本信息

- 自版本：`1.0.6`
- 实现模块：`auth`
- 授权类别：`LICENSE_EXPLICIT_TENANT` / `BASIC`
- 失败回退：`false`
- 文档同步：`2026-10-18`