# ADR-0004: Идентификация отдельно от прав

Статус: предложено, 13.10.2026; к реализации после утверждения spec и относящихся Q.

## Контекст

NFR 01 и STT-215 используют вход Сферы; возможен корпоративный SSO. Владение группой/должность не доказывают роль РМ.

## Решение

Рекомендовать Bitrix OAuth code flow через IdentityProvider; корпоративный OIDC — альтернативный adapter после Q-08. VerifiedIdentity связывается по issuer+subject/portal+userId, далее серверные AccessGrant и opaque session cookie. viewCost отдельно, по умолчанию deny.

## Последствия

Нужно согласовать grant/revoke/TTL/freshness и перенос портфеля. Проверка scope до запросов/агрегаций/CSV, revoke при деактивации. Test identity только NODE_ENV=test; production-negative тест обязателен, SPHERE_FAKE не открывает вход.

## Отвергнутые варианты

Имена/email и client mode=rm не идентификация. Sync webhook не логин пользователя. Копировать default member и fake auth STT-215 без усиления нельзя: другая матрица прав и требование test-only.