docs(M02-C): 记录权限范围验收结果

README.md

@@ -114,9 +114,9 @@ WSL 已验证：EMQX `5.8.9`、MQTTX CLI `1.13.0`、EMQX 服务 `active (running
 
 项目已开发部分模块；从 V4.8 切换到 V5.0 后仅新增少量内容。具体完成度不得从 README 猜测，必须以现有代码、测试、数据库迁移、Git 历史以及 `docs/current-baseline.md`、`docs/module-status.md`、`docs/feature-status.md` 为准。
 
-- 当前执行游标：`M02-C`。
-- 最近工程提交：`647ef7c`；M02-B 微信身份、JWT 与可撤销会话。
-- 下一工程目标：RBAC、门店数据范围和资源归属。
+- 当前执行游标：`M02-D`。
+- 最近工程提交：`caacc78`；M02-C RBAC、capability 与门店数据范围。
+- 下一工程目标：用户与员工管理、角色分配、禁用和审计。
 
 ## 版本递进
 

docs/api-changelog/2026-06-18-M02-C-access-profile.md

@@ -0,0 +1,15 @@
+# M02-C 访问能力返回
+
+`GET /app-api/auth/me` 在用户资料之外新增：
+
+```json
+{
+  "access": {
+    "roles": ["CUSTOMER"],
+    "capabilities": ["order.self.read", "profile.read"],
+    "storeIds": []
+  }
+}
+```
+
+角色、capability 和门店范围全部由后端按当前租户和服务端会话查询，小程序不得自行声明角色或扩大门店范围。

docs/current-baseline.md

@@ -1,8 +1,8 @@
 # 当前开发成果基线
 
 > V5.0 首次核验日期：2026-06-16  
-> audited_commit: `647ef7c`
-> next_engineering_target: M02-C 建立 RBAC、门店数据范围和资源归属
+> audited_commit: `caacc78`
+> next_engineering_target: M02-D 建立用户与员工管理、角色分配、禁用和审计
 > 事实源：当前工作区、Git 历史、状态文档、Windows/WSL 检查脚本。
 
 ## 总体结论
@@ -11,7 +11,7 @@
 |---|---|---|---|
 | 总纲版本 | V5.3 已成为当前权威总纲，V5.2/V5.1/V5.0/V4.8 已保留为历史备份 | 根目录存在 `V5.3.md`、`V5.2.md`、`V5.1.md`、`V5.0.md` 和 `V4.8.md` | 可继续按 V5.3 的执行游标开发 |
 | Git 远端 | `origin=ssh://git@git.txyundm.cn:2222/panda/qipai.git`，分支 `main` | `git rev-list main...origin/main` 为 `0 0` | 本地与远端同步 |
-| 正式后端 | 已完成 Fastify、迁移兼容、outbox/worker、多应用租户模型，以及微信身份、JWT 和可撤销 MySQL 会话 | `backend/src/auth/**`、`backend/src/routes/auth.ts`、`backend/src/tenancy/**`、`database/migrations/2026061804_m02b_wechat_auth.*.sql`、`backend/tests/**` | M01、M02-A/B DONE；MySQL 8.4.9 已验证 OpenID 复用、注销和角色版本即时失效；下一阶段 M02-C |
+| 正式后端 | 已完成 Fastify、迁移兼容、outbox/worker、多应用租户、微信身份/会话，以及六角色 RBAC 和门店范围 | `backend/src/auth/**`、`database/migrations/2026061805_m02c_rbac.*.sql`、`backend/tests/**` | M01、M02-A/B/C DONE；MySQL 已验证 capability 和跨租户门店授权拒绝；下一阶段 M02-D |
 | 后台管理端 | 仅有 `admin/.gitkeep` | 当前文件扫描 | M09 未开始，不能标记 DONE |
 | 微信小程序 | Git 中仅有 `miniapp/.gitkeep`；工作区另有未跟踪模板，按 ISSUE-007 隔离 | Git 状态与当前文件扫描 | M08 未开始，模板未审查、未纳管，不能标记 DONE |
 | 数据库迁移 | 已新增 M01-B 核心 schema up/down/verify SQL、最小脱敏 seed、旧库结构 fixture、迁移计划/执行 CLI、验证结果数量门禁和 MySQL 8 集成测试 | `database/migrations/2026061601_m01b_core_schema.*.sql`、`database/seeds/2026061601_m01b_minimal_seed.sql`、`database/fixtures/2026061801_m01b_legacy_schema.sql`、`backend/src/db/migration-runner.ts`、`backend/tests/mysql-migration-roundtrip.test.mjs` | M01-B DONE；WSL MySQL 8.4.9 已验证 8 条旧库 fixture、11 条 up、3 条 verify、10 条 down，并验证租户隔离和旧金额整数分转换；不导入真实旧数据 |
@@ -35,6 +35,6 @@
 
 ## 下一步
 
-1. 进入 M02-C：实现角色、权限、员工/保洁门店授权和资源归属校验。
+1. 进入 M02-D：实现用户/员工管理、角色分配、禁用、重置会话和审计。
 2. 在后续业务事务中使用现有 outbox/任务基础注册真实 handler，不在 M01-C 预造空业务处理器。
 3. 评估 Kysely 安全修复版的 Node 22 要求；未升级生产运行时前继续使用 `mysql2/promise`。

docs/db-changelog/2026-06-18-M02-C-rbac.md

@@ -0,0 +1,7 @@
+# M02-C RBAC 与门店数据范围
+
+- 迁移版本：`2026061805`
+- 新增权限目录、租户角色、角色权限、用户角色和用户门店授权表。
+- 固定角色：CUSTOMER、CLEANER、STAFF、STORE_ADMIN、TENANT_ADMIN、PLATFORM_ADMIN。
+- 所有角色、用户角色和门店授权关系均包含 `tenant_id`。
+- WSL MySQL 8.4.9 已验证跨租户门店授权返回失败。

docs/deployment-status.md

@@ -14,7 +14,7 @@
 | Gitea 仓库 SSH | ssh://git@git.txyundm.cn:2222/panda/qipai.git |
 | 生产拉取仓库 | ssh://git@127.0.0.1:2222/panda/qipai.git |
 | 默认分支 | main |
-| 最近模块 push commit | `647ef7c`（M02-B 微信身份、JWT 与可撤销会话） |
+| 最近模块 push commit | `caacc78`（M02-C RBAC 与门店数据范围） |
 | 最近 push 远端校验 | 本轮最终推送后已复核 `HEAD == origin/main` |
 | 目标系统 | Ubuntu 24.04 |
 | 内核架构 | x86_64 |
@@ -27,7 +27,7 @@
 | WSL 环境验证 | 已完成轻量检查、shell 语法检查、临时副本准备和清理；本地 MQTT 服务级核验通过；V5.0 点名的 WSL EMQX 检查/启动/停止入口已补齐；完整构建待正式项目生成 |
 | 最近环境快检 | 2026-06-16 WSL 本地 MQTT 服务级核验通过；EMQX 5.8.9 active/enabled，MQTTX CLI 1.13.0，五端口监听；认证/ACL/TLS/协议仍未验收 |
 | 最近部署后复检 | 未执行 |
-| 最近验证 commit | `647ef7c`；Windows 后端全量门禁与 WSL MySQL 8.4.9 迁移、OpenID 复用、注销和角色版本失效测试已通过 |
+| 最近验证 commit | `caacc78`；Windows 后端门禁与 WSL MySQL 8.4.9 RBAC、capability 和跨租户门店授权拒绝测试已通过 |
 | 最近验证日期 | 2026-06-18 |
 | 已验证系统 | Ubuntu 24.04 / 未验证 |
 | 菜单 1 首次安装 | 脚本已实现目录布局；未在生产 Ubuntu 执行 |

docs/devlogs/2026-06-18-M02-C-RBAC与数据范围.md

@@ -0,0 +1,28 @@
+# M02-C RBAC 和数据范围
+
+- 日期：2026-06-18
+- 起始 commit：`a8c2a3b`
+- 工程 commit：`caacc78`
+- 推送校验：`HEAD == origin/main == caacc78545dcd9df05fd8844d2f83fcd95b63ed6`
+- ENGINEERING_DELTA=YES
+- 子阶段状态：DONE
+
+## 工程增量
+
+- 新增六类固定角色、权限目录、角色权限、用户角色和门店授权迁移。
+- 微信用户首次/重复登录时确保租户六类角色存在，并为顾客绑定最小权限。
+- `/app-api/auth/me` 返回后端计算的角色、capability 和授权门店。
+- 门店授权 SQL 同时校验用户租户和门店租户。
+
+## 验证
+
+- `npm test`：退出码 0，RBAC 仓储、capability 和租户门店约束 PASS。
+- WSL MySQL 8.4.9：`up → verify → down → up → verify`，29/16/27 条语句，退出码 0。
+- 实测顾客最小权限、门店授权和跨租户授权拒绝。
+
+## 影响
+
+- 数据库迁移：`2026061805`。
+- API：`/app-api/auth/me` 增加 access。
+- 部署配置：无新增秘密。
+- 下一阶段：M02-D 用户与员工管理、角色分配、禁用和审计。

docs/feature-status.md

@@ -21,4 +21,4 @@
 | CFG-001 | 小程序品牌自定义 | M02-A/M03/M08 | PARTIAL | `8b8fb28` | 已建立 AppID/tenant 品牌配置表和 `/app-api/bootstrap`；同一 AppID 两租户隔离读取在 MySQL 8.4.9 实测通过。 | Logo/分享图片上传与小程序实际展示属于后续阶段。 | M03/M08 接入配置管理和小程序展示。 |
 | BKG-010 | 后台多小程序管理 | M02-A/M08/M10 | PARTIAL | `8b8fb28` | 已建立逻辑应用、租户绑定和租户配置模型；多租户 AppID 未指定租户会被拒绝。 | 尚无后台管理页面，多 AppID 真机配置未验证。 | M02-B/C 完成身份权限，M08 增加管理页面。 |
 | AUTH-001 | 多端统一小程序身份 | M02-B/M02-C/M08 | PARTIAL | `647ef7c` | 已实现微信 code 交换适配器、租户/AppID 隔离身份、JWT、服务端会话、当前用户和注销；MySQL 实测注销与角色版本变化立即失效。 | 缺真实 AppSecret 真机联调；角色菜单和 capability 属于 M02-C/M08。 | M02-C 接入 RBAC，M08 完成小程序角色界面与真机登录。 |
-| AUTH-002 | 多级权限 | M02-B/M02-C/M08 | PARTIAL | `647ef7c` | 令牌携带 tenant/user/role version，后端不信任客户端角色并回查用户与会话。 | 角色、权限、门店授权和资源归属尚未实现。 | 进入 M02-C。 |
+| AUTH-002 | 多级权限 | M02-B/M02-C/M08 | PARTIAL | `caacc78` | 已建立六类角色、权限目录、用户角色和门店范围；`/auth/me` 返回后端 capability，跨租户门店授权在 MySQL 实测被拒绝。 | 管理端角色分配、按钮菜单和完整业务资源鉴权待 M02-D/M08。 | M02-D 完成员工管理，后续业务接口接入 capability。 |

docs/module-status.md

@@ -3,10 +3,10 @@
 ```yaml
 execution_cursor:
   current_module: M02
-  current_stage: M02-C
-  last_completed_stage: M02-B
-  next_stage: M02-C
-  last_engineering_commit: 647ef7c
+  current_stage: M02-D
+  last_completed_stage: M02-C
+  next_stage: M02-D
+  last_engineering_commit: caacc78
   last_push_verified: true
   blocked_reason: ""
 ```
@@ -15,7 +15,7 @@ execution_cursor:
 |---|---|---|---|---|
 | M00 单仓库与服务器基础骨架 | PARTIAL | `ef0edda` | docs/devlogs/2026-06-16-M00-V5-基线核验.md | V5.2 已接入；已有成果基线、仓库完整性门禁、状态文档门禁、显式路径模块推送脚本、release manifest dry-run 检查、WSL 本地 MQTT 服务级核验、认证/ACL 冒烟入口、配置自检、可选 TLS/遗嘱/重复消息探测入口和 WSL EMQX 检查/启动/停止入口已补；生产部署、账号配置、真实验收仍未完成。 |
 | M01 后端 API 基础工程 | DONE | `2b90d1f` | docs/devlogs/2026-06-18-M01-C-轻量异步任务基础.md | 已完成 Fastify 后端骨架、数据库迁移兼容层，以及 MySQL outbox、幂等任务、租约领取、失败重试、人工补偿状态和独立 PM2 worker；WSL MySQL 8.4.9 往返迁移与 worker 重启持久性验证通过。 |
-| M02 登录、租户、权限 | PARTIAL | `647ef7c` | docs/devlogs/2026-06-18-M02-B-微信登录与会话.md | M02-A/B 已完成应用租户模型、微信身份、JWT 与可撤销会话；下一阶段 M02-C 实现 RBAC、门店数据范围和资源归属。 |
+| M02 登录、租户、权限 | PARTIAL | `caacc78` | docs/devlogs/2026-06-18-M02-C-RBAC与数据范围.md | M02-A/B/C 已完成租户、身份、会话、RBAC 与门店范围；下一阶段 M02-D 用户与员工管理。 |
 | M03 门店、房间、价格、营业时间 | TODO | - | - | - |
 | M04 订单、时段锁定、支付闭环 | TODO | - | - | - |
 | M05 会员、余额、套餐、优惠券 | TODO | - | - | - |