feat(security): ADR-0099 P1 — Layer 0 exemption reads the carried posture rung (#3211 M2)

[os-zhuang]

目的

ADR-0099 P1（#3211 M2）：把 Layer 0 跨租户豁免门从能力探针翻转为读携带的 ctx.posture rung。落在 M1 等价门（#3218，已合并）后面，G1 裁决已闭合（#3211 评论：两条收窄接受 + 三件配套 + 落下一 minor）。

核心翻转（security-plugin.ts computeLayeredRlsFilter）

const carriedPosture = context?.posture;
const probePlatformAdmin = this.hasPlatformAdminPosture(permissionSets);
if (isCarriedPosture(carriedPosture)) {
  platformPosture = carriedPosture === 'PLATFORM_ADMIN';   // 携带 rung 权威
  if (platformPosture !== probePlatformAdmin) this.logger.warn?.('[authz/ADR-0099] …'); // I4 defect 面包屑
} else {
  platformPosture = probePlatformAdmin;                    // 无 rung → 探针 fallback
}
const isPlatformAdmin = superuserBypass && platformPosture;

• 携带 rung（fix(authz): carry derived posture rung on ExecutionContext (#2947) #2956 已 plumb）逐字消费；rung 缺失时探针兜底（delegated-admin 桥 / sharing 服务 / getReadFilter 消费者——这些内部路径逐字节不变，等 ADR-0096 D3 消灭手搓 context）。
• 读写单一真相源：computeWriteTenantCheckFilter 复用 computeLayeredRlsFilter，insert/update post-image 租户检查自动同步同一豁免决策，读写两侧不可能漂移。
• defect 日志（配套 1）：探针↔rung 分歧时打 [authz/ADR-0099] WARN（含 object/operation/carriedPosture/probe/userId），执行较窄的 rung 裁决。分歧只可能是 fail-safe 收窄（I3：rung ⊆ 探针）。
• 退役 security-plugin.ts:71-77 过时注释。

行为收窄（预期的安全收窄，仅多组织 / @objectstack/organizations）

G1 裁决通过的两类主体，在 private / platform-global / better-auth 对象上从「跨租户豁免」收窄为「墙到本 org」：

#	主体形态	收窄前（探针）	收窄后（rung）
(a)	作用域 admin_full_access grant	跨租户豁免	rung=MEMBER → 墙到本 org
(b)	自定义集零散授平台专属能力 + 超级位	跨租户豁免	rung=MEMBER → 墙到本 org

方向 fail-safe，恢复路径 = 补授 unscoped admin_full_access。真平台管理员（携带 PLATFORM_ADMIN）仍豁免；org_admin（TENANT_ADMIN）仍被墙（I1）；better-auth carve-out 不受影响；单组织 / env-per-DB 零影响。(b) 实质是封 #2946 Finding 2 的能力拼装后门（I1「任何能力组合不得重开豁免」）。

测试（authz-matrix-gate.test.ts 新增 P1 describe）

• P1 收窄格：携带 MEMBER rung 的 scoped holder 被墙（read {organization_id:'org-1'} + write pre-image）；
• 不变量格：PLATFORM_ADMIN 仍豁免、TENANT_ADMIN 仍被墙（I1）；
• fallback 格：无 rung 的 context 走探针、行为保持（scoped holder 无 posture → 仍豁免）；
• I4 格：分歧打面包屑 + 执行较窄 rung；一致时静默。

M1 的等价格 / KNOWN DIVERGENCE 格 / I2·I3 不变量格保持（helper 层，翻转不影响）。

配套（G1 三件）

1. defect 日志 — 代码内 [authz/ADR-0099] WARN。
2. release-notes callout — changeset 正文带升级前自查指引（扫 sys_user_permission_set 作用域 admin_full_access 行 + 自建集 systemPermissions ∩ 4 平台能力）+ 恢复路径。
3. 文档立规矩 — authorization.mdx：跨租户运维权 = unscoped admin_full_access（唯一路径），零散平台能力只控功能入口、不控数据边界。

dogfood/authz-conformance.matrix.ts 的 multi-tenant-exemption-posture 格 note 更新为 P1 机制。

验证（全绿）

• pnpm --filter @objectstack/plugin-security test — 503 passed / 20 files
• pnpm --filter @objectstack/dogfood test — 296 passed / 3 skipped（authz-conformance ledger 含更新格）
• pnpm build — 71/71；tsc --noEmit（plugin-security）通过；check:role-word / check:doc-authoring clean

发布 & 后续

• 落下一个 minor（不进 15.2.0 / chore: version packages (rc) #3098），release notes 带上表 callout。
• 残余缝隙（非阻塞，已登记）：fallback 覆盖的内部路径（delegated-admin / sharing / getReadFilter）仍走探针，等 ADR-0096 D3 消灭手搓 context。M2 的 fallback 格钉住其行为保持。
• M3（P2）：Layer 1 级判定收敛读 posture（预期纯行为保持，TENANT_ADMIN 判据两侧同源）。前置：本 PR 合并。计划见 authz(ADR-0099): P0–P2 落地 — posture 成为分级裁决唯一输入（Layer 0 豁免门 + Layer 1 级判定收敛） #3211。

Refs #3211 · ADR-0099 / #3109 · #2946 Finding 2 · #2949 · #2956

🤖 Generated with Claude Code

https://claude.ai/code/session_01DAHp4K7FvyMPBY1DPNkmRu

---

Generated by Claude Code

[vercel]

The latest updates on your projects. Learn more about Vercel for GitHub.

Project	Deployment	Actions	Updated (UTC)
spec	Ready	Preview, Comment	Jul 18, 2026 3:28pm

[github-actions]

📓 Docs Drift Check

This PR changes 2 package(s): @objectstack/plugin-security, packages/qa.

12 hand-written doc(s) reference the affected code and may need an implementation-accuracy re-verification:

• content/docs/getting-started/cli.mdx (via @objectstack/plugin-security)
• content/docs/permissions/access-recipes.mdx (via packages/plugins/plugin-security)
• content/docs/permissions/authorization.mdx (via @objectstack/plugin-security, packages/qa)
• content/docs/permissions/delegated-administration.mdx (via packages/qa)
• content/docs/permissions/explain.mdx (via @objectstack/plugin-security)
• content/docs/permissions/permissions-matrix.mdx (via packages/plugins/plugin-security)
• content/docs/permissions/sharing-rules.mdx (via @objectstack/plugin-security)
• content/docs/plugins/index.mdx (via @objectstack/plugin-security)
• content/docs/plugins/packages.mdx (via @objectstack/plugin-security)
• content/docs/releases/implementation-status.mdx (via @objectstack/plugin-security)
• content/docs/ui/audience-based-interfaces.mdx (via packages/plugins/plugin-security)
• content/docs/ui/dashboards.mdx (via @objectstack/plugin-security)

Advisory only. To re-verify, run the docs-accuracy-audit workflow scoped to these files:
node scripts/docs-audit/affected-docs.mjs origin/main → pass the list as args.docs.