zhouchengcheng/ctms - ctms - Gitea: Git with a cup of tea

zhouchengcheng/ctms

Fork 0

Commit Graph

Author	SHA1	Message	Date
Cheng Zhou	2c85742040	统一项目角色与接口权限配置	2026-05-28 10:48:33 +08:00
Cheng Zhou	747dd55225	feat(perm): 项目 PM 共管接口权限与监控并细化 PM 写权限边界 - deps 新增 list_active_pm_study_ids、is_active_project_pm 与 require_admin_or_any_project_pm 依赖，用于把 PM 项目范围带进鉴权与监控。get_cra_site_scope 内部延后导入 site CRUD，避免循环依赖。 - system_permissions API 改用 PM/ADMIN 双角色入口，permissions/monitoring 系统级权限新增 PM 配额，并细化访问日志、告警、监控指标的可见范围。 - members API 调整：项目 PM 仅可管理低于 PM 的项目角色，禁止互相改写或授予 PM。 - api_permissions API 增加 GET /api-permissions/me，返回当前用户在该项目的有效权限矩阵；保存权限矩阵时校验 PM 行为不被篡改。 - core/api_permissions：新增立项配置接口键、PM 默认拥有的监控/权限系统级条目，并在权限元信息中标注 PM 共享角色。 - core/project_permissions：role_has_api_permission 命中默认角色矩阵； replace_api_endpoint_permissions 改为部分更新且永不持久化 ADMIN/PM。 - studies setup-config 各端点改用接口级权限装饰器，与新的 setup_config 权限键对齐。permission_monitor 新增 get_metrics 摘要供 PM 视图调用。 - 测试：新增 test_admin_pm_permissions 覆盖 PM 系统级权限、监控范围和成员管理边界；conftest 兼容 SA_UUID 列；权限相关用例同步移除已失效的 module_permission 链路。 Co-Authored-By: Claude Opus 4.7 (1M context) <noreply@anthropic.com>	2026-05-25 12:38:07 +08:00
Cheng Zhou	3630b9000f	权限系统迁移完成：接口级权限 + 前置权限检查 ## 核心改进 - 完全迁移到接口级权限（68个API端点） - 实现前置权限检查机制，解决跨模块数据访问权限问题 - 添加权限管理API端点，支持前置权限查询 ## 关键变更 1. 权限配置系统 - 添加OPERATION_PREREQUISITES映射表 - 所有操作配置前置权限依赖 2. 权限检查函数 - role_has_api_permission()支持前置权限检查 - get_missing_prerequisites()获取缺失权限列表 3. 权限管理API - GET /api-permissions/operations - 获取所有操作及前置权限 - GET /api-permissions/operations/prerequisites - 获取前置权限依赖 - GET /api-permissions/{endpoint_key}/prerequisites - 检查缺失权限 4. API端点迁移 - 第1批：subjects, visits, aes, monitoring_visit_issues (23个) - 第2批：members, sites, project_milestones (11个) - 第3批：finance_contracts, fees_contracts, drug_shipments (15个) - 第4批：startup endpoints (19个) ## 测试验证 - 单元测试：24个测试全部通过 - 集成测试：22个迁移端点测试通过 - 前置权限测试：12个测试全部通过 - 总计：46个测试全部通过 ## 向后兼容性 - 模块级权限表保留用于历史数据 - 接口级权限未配置时自动回退到模块级权限 - 现有权限配置继续有效 Co-Authored-By: Claude Haiku 4.5 <noreply@anthropic.com>	2026-05-14 12:44:18 +08:00

Author

SHA1

Message

Date

Cheng Zhou

2c85742040

统一项目角色与接口权限配置

2026-05-28 10:48:33 +08:00

Cheng Zhou

747dd55225

feat(perm): 项目 PM 共管接口权限与监控并细化 PM 写权限边界

- deps 新增 list_active_pm_study_ids、is_active_project_pm 与
  require_admin_or_any_project_pm 依赖，用于把 PM 项目范围带进鉴权与
  监控。get_cra_site_scope 内部延后导入 site CRUD，避免循环依赖。
- system_permissions API 改用 PM/ADMIN 双角色入口，permissions/monitoring
  系统级权限新增 PM 配额，并细化访问日志、告警、监控指标的可见范围。
- members API 调整：项目 PM 仅可管理低于 PM 的项目角色，禁止互相
  改写或授予 PM。
- api_permissions API 增加 GET /api-permissions/me，返回当前用户在该
  项目的有效权限矩阵；保存权限矩阵时校验 PM 行为不被篡改。
- core/api_permissions：新增立项配置接口键、PM 默认拥有的监控/权限
  系统级条目，并在权限元信息中标注 PM 共享角色。
- core/project_permissions：role_has_api_permission 命中默认角色矩阵；
  replace_api_endpoint_permissions 改为部分更新且永不持久化 ADMIN/PM。
- studies setup-config 各端点改用接口级权限装饰器，与新的 setup_config
  权限键对齐。permission_monitor 新增 get_metrics 摘要供 PM 视图调用。
- 测试：新增 test_admin_pm_permissions 覆盖 PM 系统级权限、监控范围和
  成员管理边界；conftest 兼容 SA_UUID 列；权限相关用例同步移除已失效
  的 module_permission 链路。

Co-Authored-By: Claude Opus 4.7 (1M context) <noreply@anthropic.com>

2026-05-25 12:38:07 +08:00

Cheng Zhou

3630b9000f

权限系统迁移完成：接口级权限 + 前置权限检查

## 核心改进
- 完全迁移到接口级权限（68个API端点）
- 实现前置权限检查机制，解决跨模块数据访问权限问题
- 添加权限管理API端点，支持前置权限查询

## 关键变更
1. 权限配置系统
   - 添加OPERATION_PREREQUISITES映射表
   - 所有操作配置前置权限依赖

2. 权限检查函数
   - role_has_api_permission()支持前置权限检查
   - get_missing_prerequisites()获取缺失权限列表

3. 权限管理API
   - GET /api-permissions/operations - 获取所有操作及前置权限
   - GET /api-permissions/operations/prerequisites - 获取前置权限依赖
   - GET /api-permissions/{endpoint_key}/prerequisites - 检查缺失权限

4. API端点迁移
   - 第1批：subjects, visits, aes, monitoring_visit_issues (23个)
   - 第2批：members, sites, project_milestones (11个)
   - 第3批：finance_contracts, fees_contracts, drug_shipments (15个)
   - 第4批：startup endpoints (19个)

## 测试验证
- 单元测试：24个测试全部通过
- 集成测试：22个迁移端点测试通过
- 前置权限测试：12个测试全部通过
- 总计：46个测试全部通过

## 向后兼容性
- 模块级权限表保留用于历史数据
- 接口级权限未配置时自动回退到模块级权限
- 现有权限配置继续有效

Co-Authored-By: Claude Haiku 4.5 <noreply@anthropic.com>

2026-05-14 12:44:18 +08:00

3 Commits