docs(M02-C): 记录权限范围验收结果

docs/feature-status.md

@@ -21,4 +21,4 @@
 | CFG-001 | 小程序品牌自定义 | M02-A/M03/M08 | PARTIAL | `8b8fb28` | 已建立 AppID/tenant 品牌配置表和 `/app-api/bootstrap`；同一 AppID 两租户隔离读取在 MySQL 8.4.9 实测通过。 | Logo/分享图片上传与小程序实际展示属于后续阶段。 | M03/M08 接入配置管理和小程序展示。 |
 | BKG-010 | 后台多小程序管理 | M02-A/M08/M10 | PARTIAL | `8b8fb28` | 已建立逻辑应用、租户绑定和租户配置模型；多租户 AppID 未指定租户会被拒绝。 | 尚无后台管理页面，多 AppID 真机配置未验证。 | M02-B/C 完成身份权限，M08 增加管理页面。 |
 | AUTH-001 | 多端统一小程序身份 | M02-B/M02-C/M08 | PARTIAL | `647ef7c` | 已实现微信 code 交换适配器、租户/AppID 隔离身份、JWT、服务端会话、当前用户和注销；MySQL 实测注销与角色版本变化立即失效。 | 缺真实 AppSecret 真机联调；角色菜单和 capability 属于 M02-C/M08。 | M02-C 接入 RBAC，M08 完成小程序角色界面与真机登录。 |
-| AUTH-002 | 多级权限 | M02-B/M02-C/M08 | PARTIAL | `647ef7c` | 令牌携带 tenant/user/role version，后端不信任客户端角色并回查用户与会话。 | 角色、权限、门店授权和资源归属尚未实现。 | 进入 M02-C。 |
+| AUTH-002 | 多级权限 | M02-B/M02-C/M08 | PARTIAL | `caacc78` | 已建立六类角色、权限目录、用户角色和门店范围；`/auth/me` 返回后端 capability，跨租户门店授权在 MySQL 实测被拒绝。 | 管理端角色分配、按钮菜单和完整业务资源鉴权待 M02-D/M08。 | M02-D 完成员工管理，后续业务接口接入 capability。 |