- ReferrerAuthenticator：验签+sub绑定+状态/审批门禁的唯一实现，过滤器与票桥共用
- SsoTicketController：issue 在鉴权链内（签发即完整认证）；consume 匿名 permitAll、
  票即凭证，消费端重验绑定与门禁后返回 token+clientUserBizId
- SsoTicketService/RedisReferrerTicketStore：30s TTL、Lua 原子取即焚、同票重放必拒
- audience 由单值 contains 改逗号分隔接受集合交集语义（工作台+小程序双应用，D2 口径）
- issue 单端点 CORS 白名单（referrer.ticket.allowed-origins，默认空=仅同源）
- ReferrerIdentityFilter 瘦身委托 authenticator，mock 兜底链路不变
- 单测 11 例；本地 9202 E2E：issue/consume/重放/假票/多值 aud 回归全过