CMS 封装了密钥，但接收者身份仍必须匹配

Summary

• BF/BB1 保护 CMS 的内容加密密钥，而不是直接替代业务策略。
• IBERecipientInfo 携带 DER 编码的身份及其类型。
• 密钥解包和内容解密成功，不等于有权操作或已经持久化。

封装内部仍有多道边界

district、serial、identityType、OID 和公开参数共同决定了计算结果。别名、大小写或命名空间不同，可能让形式正确的密文指向另一个主体。BF 与 BB1 的 OID 只选择算法，不证明租户、PKG 批准或对象权限。

应保留原始 DER 对象、参数指纹、PKG 请求、CEK 哈希和解密结果。解密后的请求还要经过策略、配额和对象状态判断；记录请求 ID 与提交回执，不能让 CMS 解析器越权成为授权引擎。