[follow-up] Access 矩阵:待 framework#2566 上线后收紧作用域 + 活栈实测

[os-zhuang]

#2222(已合并,closes #2221)按 ADR-0086 P0 落地了 Access 矩阵的按包作用域 + 保存切片合并 + 左栏权限集按包过滤。其中若干项依赖 framework ADR-0086 P1(objectstack-ai/objectstack#2566)。P1 现已合并,收尾进展见下。

待办

• 左栏权限集作用域收紧 —— 由 fix(studio): scope Access rail server-side by package (ADR-0086 P1 follow-up) #2229 完成(比原计划「去护栏」更正确)。
  活栈实测发现:provenance(package_id/managed_by)只落在数据行 sys_permission_set 上,元数据列表 meta/permission 不回传这两列,所以原先的客户端过滤(scopePermissionSetList 的 anyTagged 护栏)在真后端下永远命不中,平台默认集并未被隐藏。改为服务端作用域 client.list('permission', { packageId }),由后端按 package_id provenance 过滤;删除了失效的客户端 helper。实测:左栏 ?package=showcase 从 6 → 2 个(只剩 showcase_contributor / showcase_member_default),平台默认集被排除。

• 活栈浏览器可视化闭环 —— 已完成 API/链路级活栈实测(fix(studio): scope Access rail server-side by package (ADR-0086 P1 follow-up) #2229):真 framework showcase --fresh 后端 + console dev,验证左栏 6→2、对象矩阵 84→20、provenance 落库对照。纯浏览器渲染截图这一步仍未做:本会话 chrome-devtools MCP 找不到 Chrome 可执行文件(只装了 Playwright 的 Chromium)。留待有可用浏览器的环境补一次可视化过场。

• 新建权限集自动打包归属 —— 由 feat(studio): 包 Access 门改走草稿/发布(ADR-0086 P2 · D6/D7) #2225(ADR-0086 P2)完成:AccessPillar 新建集 creator 改为 client.save('permission', …, { mode:'draft', packageId }),草稿由框架盖上包归属。

关联

• 落地 PR:fix(studio): scope Access matrix by { packageId } + slice-merge on save (ADR-0086 P0) #2222(P0)· feat(studio): 包 Access 门改走草稿/发布(ADR-0086 P2 · D6/D7) #2225(P2)· fix(studio): scope Access rail server-side by package (ADR-0086 P1 follow-up) #2229(P1 收尾) · 决策:framework ADR-0086 · 依赖:feat(security): permission-set package provenance + bootstrapDeclaredPermissions (ADR-0086 P1) objectstack#2566(P1,已合并)
• 源 issue:[P0][security] Access 矩阵按 { packageId } 限定作用域 + 保存切片合并(ADR-0086 P0,生产上线阻断) #2221(P0,已闭环)

[os-zhuang]

浏览器可视化闭环(条目 2)—— 已完成 ✅

环境:framework main(含 #2566 P1 及其后演进)showcase 后端 :3000 + objectui main console dev :5180,内置浏览器真渲染(此前会话缺 Chrome 可执行文件,本会话补齐)。

渲染结果(/studio/com.example.showcase/access)

• 左栏权限集:8/8 全为 showcase 包集(Showcase Contributor / Manager / Executive / Auditor / Operations / Member Default / Guest Portal / Field Ops Delegate)。平台默认集(admin_full_access、member_default、viewer_readonly、organization_admin、mcp_agent_*)一个都没出现 ✅
• 对象矩阵:徽标「20 / 20 个对象」,逐行核对全部为 showcase_*,无任何 sys_* 泄漏 ✅

网络层(浏览器实际发出的请求)

• rail:GET /api/v1/meta/permission?package=com.example.showcase → 200(即 fix(studio): scope Access rail server-side by package (ADR-0086 P1 follow-up) #2229 的服务端作用域调用)
• 矩阵:GET /api/v1/meta/object?package=com.example.showcase → 200
• (…/showcase_contributor?state=draft&package=… → 404 为「尚无草稿」的预期路径)

API 对照(同一后端直查)

调用	未作用域	?package=com.example.showcase
meta/permission	15 集	8 集(全 showcase_*)
meta/object	85 对象	20 对象(全 showcase_*)

#2229 当时是 6→2 / 84→20;此后 showcase 示例包新增了 6 个声明式权限集和 1 个对象,数字变化符合预期,语义不变:scoped = 仅包属集/包属对象。

Provenance 落库对照(sys_permission_set 数据行)

• 8 个 showcase_* 集:managed_by=package, package_id=com.example.showcase
• 7 个平台默认集:managed_by=admin, package_id=null(环境所有;注:framework 现在为平台默认集写 managed_by='admin',不再是 remove(tenant): 删除零消费者的 @object-ui/tenant 整包 + types/tenant.ts 镜像(#2564) #2566 验证时的 null,不影响包作用域语义——scoping 按 package_id 过滤)

至此本 issue 三项待办全部有据可查:条目 1(#2229)、条目 2(本评论)、条目 3(#2225)。条目 2 的复选框与关闭操作留给 issue 所有者确认。