[P0][security] Access 矩阵按 { packageId } 限定作用域 + 保存切片合并(ADR-0086 P0,生产上线阻断)

[os-zhuang]

上线阻断项,来自 framework 授权全生命周期缺口地图 objectstack-ai/objectstack#2561(2026-07-04 优先级重排中由 P1 升 P0)。决策归属:framework docs/adr/0086-*(framework PR #2559)——本 issue 不重新决策,按 ADR-0086 P0 执行。

问题(两个真实事故面)

#2196 落地的 Access 支柱把现有 PermissionMatrixEditPage 原样嵌入,当前行为(#2196 自己的验证记录可证:「matrix loads showcase_contributor (84 objects, granted counts)」):

1. 「84 对象泄漏」:包上下文中打开的 Access 面板列出的是全环境所有对象的权限矩阵,而非本包声明的对象——管理员在包 A 的面板里能看到并误改不属于包 A 的授权(越权数据暴露面);
2. 跨包授权数据丢失:保存把权限集整体覆写,其他包贡献的授权切片被一起冲掉(静默数据丢失陷阱)。

要做的(ADR-0086 P0 范围,勿扩)

• Access 矩阵按 { packageId } 限定作用域:包上下文里只列当前包声明的对象;
• 保存改为切片合并(slice-merge):只写回本包切片,不触碰其他包贡献的行;
• 两个方向都要证明:本包编辑生效 且 其他包切片在保存后原样保留。

验收标准

• 打开包 A 的 Access 面板只见包 A 声明的对象(不再是 84 个全环境对象);
• 在包 A 的矩阵编辑并保存后,包 B 此前的授权行逐字节不变(写回归测试);
• 浏览器实测完整闭环:打开 → 编辑 → 保存 → 重开,含对照另一包的切片留存检查;
• type-check 0 errors,现有测试不回归。

协调点(重要)

framework 侧的 PermissionSetSchema.packageId + 每记录 managedBy 是 ADR-0086 P1(尚未落地,见 framework#2561)。若 UI 切片合并依赖记录级 packageId 才能实现,先确认能否用包 manifest 声明的对象清单做作用域(P0 最小实现);记录级来源轴等 framework P1 落地后再收紧。不确定时在本 issue 提问,不要自行改 framework 侧 schema。

关联

• 上线定义:[umbrella][security] 授权全生命周期缺口地图 — 包开发 → 生产上线(P0–P3) objectstack#2561(P0 清单)
• 决策:framework ADR-0086(PR docs(adr): ADR-0086 authz metadata↔config boundary + cross-package composition objectstack#2559);对齐 fix(studio): Interfaces designs the current package's app, not another's #2197
• 现状引入:feat(studio): Access pillar — fourth content pillar (permission matrix) #2196(Access 支柱,已合并)
• framework 侧 P0 姊妹项(已落地):feat(security)!: secure-by-default requireAuth flip + RBAC gates for transfer/restore/purge (#2561 P0) objectstack#2562(requireAuth 翻转 + feat(app-shell): global settle signal + region aria-busy (ADR-0054 Phase 3) #1883 门)

[os-zhuang]

协调点更新:framework 侧 ADR-0086 P1 已提 PR objectstack-ai/objectstack#2566(draft,CI 进行中)——sys_permission_set 现在带记录级 package_id / managed_by 来源轴,且 stack.permissions 声明的权限集会在启动时以 managed_by:'package' + package_id 播种落库(实测 showcase:showcase_contributor → package_id=com.example.showcase)。

对本任务的影响:切片合并可以直接按 package_id 查询本包的权限集记录,不必退回「包 manifest 对象清单」的 P0 最小方案;矩阵作用域(只列本包对象)仍按包声明的对象清单即可。注意平台默认集(admin_full_access/member_default 等)无 package_id(环境所有),不应出现在任何包的 Access 面板里。

---

Generated by Claude Code

[os-zhuang]

已按协调点更新落到 PR #2222:

• 矩阵作用域:按包声明的对象清单(list('object', { packageId }))——与留言一致,未依赖记录级 package_id。
• 切片合并保存:只写回本包切片,其他包贡献行逐字节保留。
• 第 3 条(平台默认集不入包面板):左栏权限集现按记录级 package_id 过滤,隐藏无 package_id 的环境所有集(admin_full_access/member_default 等)。因 framework#2566 仍为 draft,加了迁移期护栏:当所有集都还没有 package_id(旧后端)时全量显示,避免把左栏清空;待 remove(tenant): 删除零消费者的 @object-ui/tenant 整包 + types/tenant.ts 镜像(#2564) #2566 上线、provenance 轴确定生效后可去掉护栏收紧。

逻辑抽为纯函数 permission-slice.ts(scopePermissionSet / mergePermissionSlice / scopePermissionSetList),含单测 + 组件集成测试(load→edit→save→reopen)。

---

Generated by Claude Code