 Cheng Zhou
|
d6452e3f9d
|
完善项目权限前置依赖保存校验
- 以接口权限定义中的 prerequisite_permissions 作为前置依赖单一事实源，生成运行时前置权限映射\n- 保存项目角色权限前预检缺失前置权限与受影响下游权限，未确认时返回 409 调整详情\n- 确认保存时自动合并补齐前置权限与取消下游权限，并提供有效权限矩阵读取接口\n- 前端角色权限编辑改为保存时执行依赖校验，弹窗展示需补充前置权限和受影响下游权限\n- 新增编辑权限取消按钮，清理权限选择即时确认弹窗残留\n- 补充后端接口测试、前端权限编辑测试与优化设计文档
|
2026-06-04 16:29:44 +08:00 |
|
|
Cheng Zhou
|
ab4f0d93ed
|
统一项目权限读取模型
1、合并列表与详情读取权限，统一使用 subjects:read、project_members:read、monitoring_issues:read 等业务读取 key。
2、增加历史读取权限 key 的兼容映射，确保存量项目权限覆盖值不会丢失。
3、同步前端权限工具、路由权限与权限管理页面，避免继续引用已合并的旧权限 key。
4、补充项目角色启停保护与抽屉未保存变更守卫，防止停用 PM 或仍有关联成员的角色。
|
2026-06-04 11:06:03 +08:00 |
|
|
Cheng Zhou
|
2c85742040
|
统一项目角色与接口权限配置
|
2026-05-28 10:48:33 +08:00 |
|
|
Cheng Zhou
|
747dd55225
|
feat(perm): 项目 PM 共管接口权限与监控并细化 PM 写权限边界
- deps 新增 list_active_pm_study_ids、is_active_project_pm 与
require_admin_or_any_project_pm 依赖，用于把 PM 项目范围带进鉴权与
监控。get_cra_site_scope 内部延后导入 site CRUD，避免循环依赖。
- system_permissions API 改用 PM/ADMIN 双角色入口，permissions/monitoring
系统级权限新增 PM 配额，并细化访问日志、告警、监控指标的可见范围。
- members API 调整：项目 PM 仅可管理低于 PM 的项目角色，禁止互相
改写或授予 PM。
- api_permissions API 增加 GET /api-permissions/me，返回当前用户在该
项目的有效权限矩阵；保存权限矩阵时校验 PM 行为不被篡改。
- core/api_permissions：新增立项配置接口键、PM 默认拥有的监控/权限
系统级条目，并在权限元信息中标注 PM 共享角色。
- core/project_permissions：role_has_api_permission 命中默认角色矩阵；
replace_api_endpoint_permissions 改为部分更新且永不持久化 ADMIN/PM。
- studies setup-config 各端点改用接口级权限装饰器，与新的 setup_config
权限键对齐。permission_monitor 新增 get_metrics 摘要供 PM 视图调用。
- 测试：新增 test_admin_pm_permissions 覆盖 PM 系统级权限、监控范围和
成员管理边界；conftest 兼容 SA_UUID 列；权限相关用例同步移除已失效
的 module_permission 链路。
Co-Authored-By: Claude Opus 4.7 (1M context) <noreply@anthropic.com>
|
2026-05-25 12:38:07 +08:00 |
|
|
Cheng Zhou
|
e95eeed90e
|
完善权限缓存与监控指标
|
2026-05-19 16:03:27 +08:00 |
|
|
Cheng Zhou
|
20ce6bccef
|
完全移除模块级权限系统，迁移至接口级权限
后端：
- 删除 StudyRolePermission 模型和 project_permissions API 文件
- 重写 project_permissions.py core，移除所有模块级权限函数
- 重写 permission_cache.py，移除模块级权限缓存逻辑
- 新增权限模板功能（PermissionTemplate 模型、API、服务层）
- 新增 permission_templates 数据库迁移
- 迁移 8 个模块（attachments、audit_logs、dashboard、faqs、
faq_categories、fees_attachments、knowledge_notes、
material_equipments、overview、subject_histories、subject_pds）
至接口级权限检查
- 删除所有模块级权限相关测试文件，新增权限模板测试
前端：
- 删除 ProjectPermissions.vue 和 ProjectPermissionsModule.vue
- 重写 projectRoutePermissions.ts，改为基于接口级权限格式
- 更新 store/study.ts、router/index.ts、AuditLogs.vue、Projects.vue
中的权限 API 调用，从 fetchProjectRolePermissions 改为
fetchApiEndpointPermissions
- 清理 types/api.ts 中的旧模块级权限类型定义
- 新增 PermissionTemplateSelector.vue 组件
- 更新权限管理页面，移除模块级权限 tab
Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com>
|
2026-05-15 09:07:43 +08:00 |
|
|
Cheng Zhou
|
0cc87210af
|
权限系统：完成接口级权限系统第6阶段（测试与文档）
## 主要完成内容
### 1. 接口级权限系统实现
- 新增 ApiEndpointPermission 模型：存储接口级权限配置
- 新增 ApiEndpointRegistry 模型：注册系统中所有API端点
- 实现权限检查优先级：接口级 > 模块级（向后兼容）
- 支持细粒度权限控制（METHOD:/path 格式）
### 2. 权限配置系统
- 创建 api_permissions.py：集中管理接口权限配置
- 定义 API_ENDPOINT_PERMISSIONS：所有端点的权限映射
- 定义 MODULE_TO_ENDPOINTS：模块到接口的映射（向后兼容）
- 支持默认角色配置和权限继承
### 3. 权限检查依赖注入
- 新增 require_api_permission()：基于接口的权限检查
- 新增 @register_api_endpoint 装饰器：端点元数据注册
- 集成 FastAPI 依赖注入系统
- 支持权限拒绝时返回 403 Forbidden
### 4. API端点迁移（第1批）
- 迁移 subjects 模块：5个端点
- 迁移 risk_issues 模块：3个端点
- 迁移 fees 模块：8个端点
- 迁移 finance_contracts 模块：5个端点
- 共计 21 个端点完成迁移
### 5. 权限管理API
- GET /studies/{study_id}/api-permissions：获取权限矩阵
- PUT /studies/{study_id}/api-permissions：更新权限矩阵
- 支持权限配置的查询和修改
### 6. 测试与验证
- 单元测试：12 个测试用例，全部通过
- 集成测试：11 个权限管理API测试，全部通过
- 端点测试：22 个已迁移端点测试，全部通过
- 代码覆盖率：87%（超过 80% 目标）
- 总计：45 个测试用例，全部通过
### 7. 文档
- TESTING_SUMMARY.md：详细的测试结果总结
- IMPLEMENTATION_SUMMARY.md：实现细节文档
- TESTING_GUIDE.md：测试指南
## 技术亮点
1. **向后兼容性**：保留模块级权限，接口级权限优先
2. **灵活的权限配置**：支持默认角色和自定义权限
3. **细粒度控制**：支持跨模块数据访问权限
4. **完整的测试覆盖**：单元测试、集成测试、端点测试
5. **清晰的权限检查流程**：接口级 → 模块级 → 拒绝
## 下一步工作
- [ ] 第7阶段：迁移第2批模块（members, sites）
- [ ] 第8阶段：迁移第3批模块
- [ ] 第9阶段：安全审计
- [ ] 第10阶段：性能测试
- [ ] 第11阶段：文档更新
Co-Authored-By: Claude Haiku 4.5 <noreply@anthropic.com>
|
2026-05-13 15:18:02 +08:00 |
|