[PM seat] domain:identity — 🟢 baozhoutao

[claude]

本贴是 domain:identity 座位的唯一权威登记。 座位贴协议(维护者 2026-08-06 批准,自 #4604 单正文座位表迁移而来):索引 = label:pm:seat,总入口 #4604(指针页)。

单写手规则:只有在任座位 PM 编辑本贴正文;接管/移交 = 改正文 + 一条审计评论(评论只作交接存档,不承载状态)。空缺争用时:动手前重拉正文、审计评论时间戳先到先得、写后回读。活性判定(惰性,无心跳,仅接管冲突时评估):Routine 座位查调度器(last_fired/next_run),会话座位查最近产出评论时间戳,>24h 无产出即可回收(改正文 + 审计评论)。

范围

plugin-auth / plugin-security / plugin-sharing / plugin-audit

当前 PM(会话或 Routine ID)

会话 session_01JwwiU9bjhwy2SWj13ho8uv(2026-08-06 05:4xZ 接管;08-07 10:0xZ 恢复在任)

说明

2026-08-06/07 在任。十四轮累计 24 单,前 23 单全闭环零返工;第 14 轮在飞。分诊 08-07 11:37Z 投放 HotCRM GA 验收三单(#5491/#5492/#5493,sharing/RLS 写路径),批次裁定严格串行。

• 在飞(1,第 14 轮,12:1xZ 派发):Row-level write gate consults neither modifyAllRecords nor sys_record_share.access_level — both declared write-widening mechanisms are inert #5492(写门兑现 modifyAllRecords + sys_record_share.access_level 两种已声明写扩权)—— 带前提时效警报(测于 rc.2,fix(security): controlled_by_parent 折入主档的归属与共享授权 —— 声明的收窄真正被兑现 (#5386) #5816/fix(plugin-security): getReadFilter 补上 controlled_by_parent 主档收窄 —— analytics 读面与 middleware 同一作用域 (#5815) #5838/fix(plugin-sharing): hierarchy resolver 按权威字段拿到调用方活动组织 (#5859) #6067 于 08-06 重写同片写门,逐条对 main 重测,已修部分裁剪修复面)与带前提裁决(declared=enforced 读写对称;ADR 明文反例即停手 needs_decision);⛔ 不动 sharing-plugin.ts(On objects that carry sharing rules, sharing middleware answers FORBIDDEN before RLS update-wideners are consulted — the identical widener works on rule-less objects #5493 锚点)。
• 串行队列(2):On objects that carry sharing rules, sharing middleware answers FORBIDDEN before RLS update-wideners are consulted — the identical widener works on rule-less objects #5493(sharing middleware 在 RLS 扩权前抛 FORBIDDEN,锚 sharing-plugin.ts:857)—— 待 Row-level write gate consults neither modifyAllRecords nor sys_record_share.access_level — both declared write-widening mechanisms are inert #5492 落地后按其必答项 c 重定价再派;member_default's * wildcard object grant (C/R/E) union-merges into every org member — app-side explicit-allow object gates are erased on three axes #5491(member_default * 通配符 union 抹掉 app 显式 allow 门)—— 内嵌产品语义分叉(通配符是否故意、显式 deny 是否应胜 union、opt-out 形状),PM 待 Row-level write gate consults neither modifyAllRecords nor sys_record_share.access_level — both declared write-widening mechanisms are inert #5492 必答项 d 后评估「带前提裁决 vs needs-user-decision」,⛔ 未评完不派。
• blocked(3):auth-contains-filter.test.ts 的见证后端迁 sqlite 排在 #5702 之后 —— #5830 裁决 C 的到期单 #5893(等 drivers: $regex 响亮拒收 + $icontains 各后端实现(#4706 裁决 B 案 · 驱动半边) #5702)、plugin-audit 的 5 个 hook 全部无 object 注册 ⇒ 引擎「按对象」需求门(#5284 单 id / #5038 批量)在 audit 启用时恒真 #5860(等 spec hook 注册契约只能表达「命中这些对象」,无法表达「全局但排除这些对象」—— #5860 因此在 plugin-audit 内无法落地 #5928)、plugin-auth: convertWhere() 整体忽略 better-auth 的 Where.mode: 'insensitive'(SCIM 会发它) #5814(needs-user-decision)。
• findings:[finding] MCP enable_pr_auto_merge 对已全绿(clean)PR 只武装不入队且返回空字段 —— 三例实测 + 可靠检测签名 + 处方,建议固化进 pm-dispatch 运维注记 #6207(本座位立,tooling)、HookContext 契约表把 before* 的 input.options 记成 DriverOptions —— 实测那里仍是调用方的 engine options(含 where),两个 break-glass 守卫正读它 #5997、两处手写的 ExecutionContext 组装已漂移:REST 传输不带 principalKind / onBehalfOf,而 explain / security 会读它 #6071 待分诊。
• 第 13 轮存档:[finding] 共用定窗计数件住在 plugin-auth 里,消费方要为 90 行计数背上整个 better-auth #6040→feat(plugin-auth): 定窗计数件独立成 ./rate-limit-storage 子路径入口 (#6040) #6197 MERGED(1fa224a67);两日 23 单零返工;处方与纪律存档见前版。

---

迁移注记:本贴自 #4604 座位表迁移(2026-08-06,经办 PM 会话 session_01GcjbQLUQKysMU9uXB34iyv);迁移时刻起本贴即该座位唯一权威。2026-08-06 15:2xZ 起由在任座位 PM(session_01JwwiU9bjhwy2SWj13ho8uv)接管维护。