@oj-module/cli 0.2.54 → 0.2.56

package/templates/src/{_platform/api → app/api/_platform}/_shared/service/domain/users.ts

@@ -1,5 +1,6 @@
 // 账号管理应用服务（管理域 /api/system/users，AC1-7~10 + B6 建号加固）。
 // 红线：admin 不碰 superadmin/admin 成员资格（AC1-8，service 按 actor 角色自查）；
+// 只有 superadmin 能改 superadmin 账号（口令/启停/资料/删除/角色，见 assertCanManageTarget）；
 // 禁止操作自己（AC1-10 注）；最后 superadmin 兜底（服务端二次防线）；
 // 角色唯一权威源 sys_user_role + 写时失效（AC1-7/D10）；禁用/重置口令级联删 refresh（§3.1）。
 // bcrypt 经注入（Node 侧全局不可 stub，同 session.ts 约定）。
@@ -59,6 +60,27 @@ function assertNotSelf(actorId: number, targetUid: number): void {
 		fail(400, "cannot operate on yourself");
 }
 
+/**
+ * 红线（RBAC 保护红线）：只有 superadmin 能改 superadmin。
+ *
+ * 与 `assertMembershipAllowed` 的分工：那条按**被授予的角色**管提权方向（谁能任命 admin /
+ * superadmin），这条按**目标账号当前的角色**管反向——谁能动一个已经是 superadmin 的号。
+ * 缺了它，同一租户的 admin 可以：重置 superadmin 口令（知道口令即接管账号，而 superadmin
+ * 是平台级、能跨租户）／把人禁用／把角色整集清空——后者连 `assertMembershipAllowed`
+ * 都拦不住（`next` 里没有 admin/superadmin 时它直接放行）。故口令/启停/资料/删除/角色
+ * 五条写路径统一走这里。
+ *
+ * 读角色走 `rolesOf()`，与写入同受请求租户注入约束：只能影响本租户的人。
+ */
+async function assertCanManageTarget(actorId: number, targetUid: number): Promise<void> {
+	const targetRoles = await rolesOf(Number(targetUid));
+	if (!targetRoles.includes("superadmin"))
+		return;
+	if ((await rolesOf(Number(actorId))).includes("superadmin"))
+		return;
+	fail(403, "modifying a superadmin requires superadmin");
+}
+
 /**
  * AC1-8（已修订）：成员资格提权守卫——按**被授予的角色**分层，不再一刀切。
  *
@@ -200,6 +222,7 @@ export async function updateUserRoles(actorId: number, targetUid: number, roles:
 	const target = await db.table("users").select(["id"]).where({ field: "id", op: "eq", value: targetUid }).all();
 	if (!target.length)
 		fail(404, "user not found");
+	await assertCanManageTarget(actorId, targetUid);
 	const next = [...new Set(roles.map(String))];
 	if (next.length) {
 		const known = await db.table("sys_role").select(["name"]).where({ field: "name", op: "in", value: next }).all();
@@ -258,6 +281,7 @@ export async function changePasswordByAdmin(actorId: number, targetUid: number,
 	const rows = await db.table("users").select(["id"]).where({ field: "id", op: "eq", value: targetUid }).all();
 	if (!rows.length)
 		fail(404, "user not found");
+	await assertCanManageTarget(actorId, targetUid);
 	const hash = await deps.bcryptHash(String(newPassword));
 	await db.tx(async (t) => {
 		await t.table("users").update({ password_hash: hash, must_change: 1 }).where({ field: "id", op: "eq", value: targetUid }).run();
@@ -273,6 +297,7 @@ export async function setForbidden(actorId: number, targetUid: number, forbidden
 	const rows = await db.table("users").select(["id"]).where({ field: "id", op: "eq", value: targetUid }).all();
 	if (!rows.length)
 		fail(404, "user not found");
+	await assertCanManageTarget(actorId, targetUid);
 	await db.tx(async (t) => {
 		await t.table("users").update({ is_forbidden: forbidden ? 1 : 0 }).where({ field: "id", op: "eq", value: targetUid }).run();
 		if (forbidden)
@@ -294,6 +319,7 @@ export async function updateUserProfile(actorId: number, targetUid: number, patc
 	const rows = await db.table("users").select(["id"]).where({ field: "id", op: "eq", value: targetUid }).all();
 	if (!rows.length)
 		fail(404, "user not found");
+	await assertCanManageTarget(actorId, targetUid);
 	const cols: Record<string, unknown> = {};
 	if (patch.displayName !== undefined)
 		cols.display_name = patch.displayName == null ? null : String(patch.displayName).trim() || null;
@@ -320,6 +346,7 @@ export async function deleteUser(actorId: number, targetUid: number): Promise<vo
 	const rows = await db.table("users").select(["id", "username"]).where({ field: "id", op: "eq", value: targetUid }).all() as Array<{ id: number, username: string }>;
 	if (!rows.length)
 		fail(404, "user not found");
+	await assertCanManageTarget(actorId, targetUid);
 	const roles = await rolesOf(Number(targetUid));
 	if (roles.includes("superadmin")) {
 		const supers = await db.table("sys_user_role").select([{ fn: "count", as: "c" }]).where({ field: "role_name", op: "eq", value: "superadmin" }).all() as Array<{ c: number }>;

package/templates/src/{_platform/api → app/api/_platform}/_shared/service/infra/oplog.ts

@@ -21,7 +21,7 @@ export interface OplogPage {
 	truncated: boolean
 }
 
-export async function searchOplog(filter: { action?: unknown, username?: unknown, module?: unknown, limit?: unknown }): Promise<OplogPage> {
+export async function searchOplog(filter: { action?: unknown, username?: unknown, module?: unknown, page?: unknown, limit?: unknown }): Promise<OplogPage> {
 	// 构造器（v0.1.82）：可选过滤走 whereIf，条件写一份（mk 工厂），count + list 复用；
 	// username 走语义 op contains（引擎转义 %/_/!，等价旧 LIKE ? ESCAPE '!' 的 %kw%）。
 	// 照抄口径：devkit scenarios 场景 42 ④。
@@ -35,6 +35,8 @@ export async function searchOplog(filter: { action?: unknown, username?: unknown
 		.whereIf(action, { field: "action", op: "eq", value: action })
 		.whereIf(module, { field: "module", op: "eq", value: module })
 		.whereIf(username, { field: "username", op: "contains", value: username });
-	const r = await pagedFactory<OplogRow>(mk, { size: filter.limit });
+	// page/limit 成对：limit 是每页条数（pageArgs 钳 200），缺省第 1 页 / 20 条。
+	// total 由 count 查询单独给出，页面按 total 算页数——不再靠 truncated 提示「结果被截断」。
+	const r = await pagedFactory<OplogRow>(mk, { page: filter.page, size: filter.limit });
 	return { list: r.list, total: r.total, truncated: r.truncated };
 }

package/templates/src/app/api/_platform/migrations/0017__users_employee_no.mysql.sql

@@ -0,0 +1,7 @@
+-- 0017__users_employee_no（mysql 方言）：工号列 + 租户内唯一。列语义同 0017__users_employee_no.sql 头注释。
+-- 差异（沿用 0015__tenant.mysql.sql 惯例）：
+--   · 键列不能用 TEXT 落唯一键 → 按业务长度收窄为 VARCHAR(64)；
+--   · 无部分索引 → 普通唯一键，NULL 在 MySQL 里可重复出现，效果等同「有值才唯一」；
+--   · (255 + 64) × 4B = 1276B < InnoDB 3072B 上限。
+ALTER TABLE users ADD COLUMN employee_no VARCHAR(64) NULL;
+ALTER TABLE users ADD UNIQUE KEY uk_users_employee_no (tenant_id, employee_no);

package/templates/src/app/api/_platform/migrations/0017__users_employee_no.pg.sql

@@ -0,0 +1,4 @@
+-- 0017__users_employee_no（postgres 方言）：工号列 + 租户内唯一。列语义同 0017__users_employee_no.sql 头注释。
+-- 差异（沿用 0016__org.pg.sql 惯例）：TEXT 在 pg 合法且可用于部分唯一索引，无需收窄类型。
+ALTER TABLE users ADD COLUMN employee_no TEXT;
+CREATE UNIQUE INDEX IF NOT EXISTS uk_users_employee_no ON users (tenant_id, employee_no) WHERE employee_no IS NOT NULL;

package/templates/src/app/api/_platform/migrations/0017__users_employee_no.sql

@@ -0,0 +1,8 @@
+-- 0017__users_employee_no（sqlite 方言）：工号列 + 租户内唯一
+--
+-- 为什么单开一列而不是复用 display_name / 外部 origin_id：用户 CSV 导入导出要与源系统
+-- 9 列表头完全互通，「工号」必须是独立可查字段。
+-- 可空是必需的：存量本地账号没有工号，外部同步号也可能不带；唯一性只在有值时有意义，
+-- 故用部分索引（sqlite/pg 都支持 WHERE），mysql 侧靠「NULL 可重复」的唯一键等效。
+ALTER TABLE users ADD COLUMN employee_no TEXT;
+CREATE UNIQUE INDEX IF NOT EXISTS uk_users_employee_no ON users (tenant_id, employee_no) WHERE employee_no IS NOT NULL;

package/templates/src/{_platform/api → app/api/_platform}/schema.yaml

@@ -37,6 +37,11 @@ tables:
       activated: {type: integer, null: false}
       # 职务（与来源无关的通用字段）
       position: {type: text}
+      # 工号（0017，可空）：与姓名/用户名分开的独立工号列，租户内有值时唯一。
+      # 必须在这里声明——列只落库而不进白名单时，任何模块 select 它都会被构造器拒为
+      # `unknown column 'employee_no'`（/system/departments 依赖 /system/users 的选人列表，
+      # 曾因此在打开部门页时整页报错）。
+      employee_no: {type: text}
       # 外部源侧的状态快照（企微 1/2/4/5）。**绝不**自动改写 is_forbidden——那会和
       # 本站管理员的手动启停互相覆盖（方案 §4.3）
       external_status: {type: integer}

package/templates/src/{auth/api → app/api/auth}/_shared/wecom/replay.ts

@@ -43,7 +43,13 @@ export function runtimeReplayGate(): ReplayGate {
 		incr: key => kv.incr(key),
 		expire: (key, ttlSecs) => kv.expire(key, ttlSecs),
 		get: key => kv.get(key),
-		set: async (key, ttlSecs) => { await kv.set(key, "1"); if (!(await kv.expire(key, ttlSecs))) { log.warn("wecom applied marker ttl not set", "key", key); await kv.del(key); } },
+		set: async (key, ttlSecs) => {
+			await kv.set(key, "1");
+			if (!(await kv.expire(key, ttlSecs))) {
+				log.warn("wecom applied marker ttl not set", "key", key);
+				await kv.del(key);
+			}
+		},
 		del: key => kv.del(key),
 		now: () => Math.floor(Date.now() / 1000),
 	};
@@ -61,7 +67,7 @@ export class ReplayAlreadyApplied extends Error {
 
 /** 处理成功后调用：标记该 nonce 已落库成功，供重推幂等回 success（避免首次偏慢被企微判超时、重推又被重放守卫挡成 400）。 */
 export async function markApplied(nonce: string, gate: ReplayGate): Promise<void> {
-	await gate.set("wecom:applied:" + nonce, NONCE_TTL_SECS);
+	await gate.set(`wecom:applied:${nonce}`, NONCE_TTL_SECS);
 }
 
 /**
@@ -85,7 +91,7 @@ export async function guardReplay(timestampRaw: string, nonce: string, gate: Rep
 	if (seen !== 1) {
 		// 重推场景：若首次处理已成功落库（标了 applied 标记），直接幂等回 success，
 		// 不让企微卡在「应用安装失败」。未标记者说明首推仍在进行或已失败（失败会 release 让重推重放），维持 400。
-		const applied = await gate.get("wecom:applied:" + nonce);
+		const applied = await gate.get(`wecom:applied:${nonce}`);
 		if (applied)
 			throw new ReplayAlreadyApplied();
 		fail(400, "回调 nonce 重复：同一条指令回调已被处理过（重放请求已拒绝）");

package/templates/src/{auth/api → app/api/auth}/_shared/wecom/tenant-admin.ts

@@ -61,15 +61,12 @@ function randomPassword(): string {
 
 /** 跨租户读：指定租户下的管理员行（asSystem 例外，见文件头） */
 async function adminRow(tenantId: string): Promise<{ id: number, must_change: number } | null> {
-	const rows = await db.asSystem().table("users")
-		.select(["id", "must_change"])
-		.where({
-			and: [
-				{ field: "tenant_id", op: "eq", value: tenantId },
-				{ field: "username", op: "eq", value: TENANT_ADMIN_USERNAME },
-			],
-		})
-		.all() as Array<{ id: number, must_change: number | null }>;
+	const rows = await db.asSystem().table("users").select(["id", "must_change"]).where({
+		and: [
+			{ field: "tenant_id", op: "eq", value: tenantId },
+			{ field: "username", op: "eq", value: TENANT_ADMIN_USERNAME },
+		],
+	}).all() as Array<{ id: number, must_change: number | null }>;
 	if (!rows.length)
 		return null;
 	return { id: Number(rows[0]!.id), must_change: Number(rows[0]!.must_change ?? 0) };
@@ -77,15 +74,12 @@ async function adminRow(tenantId: string): Promise<{ id: number, must_change: nu
 
 /** 跨租户读：该用户在本租户是否握着 admin 角色（账号存在 ≠ 有角色，可能被收回过） */
 async function hasAdminRole(tenantId: string, uid: number): Promise<boolean> {
-	const roles = await db.asSystem().table("sys_user_role")
-		.select(["role_name"])
-		.where({
-			and: [
-				{ field: "tenant_id", op: "eq", value: tenantId },
-				{ field: "user_id", op: "eq", value: uid },
-			],
-		})
-		.all() as Array<{ role_name: string }>;
+	const roles = await db.asSystem().table("sys_user_role").select(["role_name"]).where({
+		and: [
+			{ field: "tenant_id", op: "eq", value: tenantId },
+			{ field: "user_id", op: "eq", value: uid },
+		],
+	}).all() as Array<{ role_name: string }>;
 	return roles.some(r => String(r.role_name) === TENANT_ADMIN_ROLE);
 }
 
@@ -176,15 +170,12 @@ export async function setTenantAdminPassword(tenantId: string, password: string)
 	if (!row)
 		throw Object.assign(new Error("租户管理员建档失败"), { status: 500 });
 
-	await db.asSystem().table("users")
-		.update({ password_hash: await bcrypt.hash(password), must_change: 1 })
-		.where({
-			and: [
-				{ field: "tenant_id", op: "eq", value: tenantId },
-				{ field: "username", op: "eq", value: TENANT_ADMIN_USERNAME },
-			],
-		})
-		.run();
+	await db.asSystem().table("users").update({ password_hash: await bcrypt.hash(password), must_change: 1 }).where({
+		and: [
+			{ field: "tenant_id", op: "eq", value: tenantId },
+			{ field: "username", op: "eq", value: TENANT_ADMIN_USERNAME },
+		],
+	}).run();
 
 	// 改密后旧会话必须失效。跨租户删 refresh 走带 tenant_id 条件的裸 SQL
 	// （先例见 store.ts::revokeTenantSessions：守卫是 check-on-miss，带了租户条件即放行）

package/templates/src/{system/api → app/api/system}/oplog/api.ts

@@ -1,5 +1,5 @@
 import { respond } from "#/_platform/_shared/respond";
-// GET /api/system/oplog?action=&username=&module=&limit= —— 操作日志查询（AC1-29；D13 admin 可查）。
+// GET /api/system/oplog?action=&username=&module=&page=&limit= —— 操作日志查询（AC1-29；D13 admin 可查）。
 // POST /api/system/oplog —— 操作日志写入（C3；登录态即可，解决方案模块记录自身操作）。
 import { assertSystemAdmin, currentAccess } from "#/_platform/_shared/service/infra/access";
 import { recordOp } from "#/_platform/_shared/service/infra/audit";
@@ -16,10 +16,12 @@ get.schema = {
 		type: "object",
 		properties: {
 			action: { type: "string" },
-			// username 前缀匹配（service likePattern），非精确
+			// username 包含匹配（子串，service 走 contains），非精确
 			username: { type: "string" },
 			module: { type: "string" },
-			// 分页大小，service paged 钳 200
+			// 页码（1 起）；service 的 pageArgs 非法回落 1
+			page: { type: "number", minimum: 1 },
+			// 每页条数 1~200（schema 兜住；service 的 pageArgs 再钳一次）
 			limit: { type: "number", minimum: 1, maximum: 200 },
 		},
 	},

package/templates/src/{_platform/web/__client/api.ts → app/web/_platform/__client/index.ts}

@@ -17,6 +17,9 @@ export const API_PREFIX = "/_platform";
 /** 认领身份前缀（契约 apiPrefix，字面等于模块目录名）：跨模块认领护栏对比基准 */
 export const MODULE_PREFIX = "/_platform";
 
+/** 认领方模块（web.config clientOwners 指定）：跨模块认领护栏对比基准 */
+export const MODULE_OWNER = "/app";
+
 /**
  * 模块 entry 的 onInit 里一行创建（构造即 install）：完成 apiPrefix 登记 +
  * scoped request 绑定，返回绑好前缀的端点函数集合。一模块一 client；
@@ -28,8 +31,8 @@ export function create_platformClient(ctx: ModuleContext) {
 	// 单槽、卸载互相耦合；跨模块需求应由本模块创建后经 provider 暴露。
 	// 注意对比基准是 MODULE_PREFIX（目录名）而非 API_PREFIX——D-M8 映射时线上前缀
 	// 属于别的命名空间，认领身份仍按目录名。
-	if (import.meta.env.DEV && ctx.module.name !== MODULE_PREFIX.slice(1)) {
-		console.warn(`[ojm-api] 模块 "${ctx.module.name}" 正在认领 ${MODULE_PREFIX} 的 client——跨模块认领会共享 request 单槽、卸载互相耦合；应由 "${MODULE_PREFIX.slice(1)}" 模块在自身 onInit 创建，跨模块需求经 provider 暴露。`);
+	if (import.meta.env.DEV && ctx.module.name !== MODULE_OWNER.slice(1)) {
+		console.warn(`[ojm-api] 模块 "${ctx.module.name}" 正在认领 ${MODULE_PREFIX} 的 client——跨模块认领会共享 request 单槽、卸载互相耦合；应由 "${MODULE_OWNER.slice(1)}" 模块在自身 onInit 创建，跨模块需求经 provider 暴露。`);
 	}
 	ctx.register.apiPrefix(API_PREFIX);
 	bindRequest(ctx.utils.request);

package/templates/src/{auth/web/__client/api.ts → app/web/auth/__client/index.ts}

@@ -17,6 +17,9 @@ export const API_PREFIX = "/auth";
 /** 认领身份前缀（契约 apiPrefix，字面等于模块目录名）：跨模块认领护栏对比基准 */
 export const MODULE_PREFIX = "/auth";
 
+/** 认领方模块（web.config clientOwners 指定）：跨模块认领护栏对比基准 */
+export const MODULE_OWNER = "/app";
+
 /**
  * 模块 entry 的 onInit 里一行创建（构造即 install）：完成 apiPrefix 登记 +
  * scoped request 绑定，返回绑好前缀的端点函数集合。一模块一 client；
@@ -28,8 +31,8 @@ export function createAuthClient(ctx: ModuleContext) {
 	// 单槽、卸载互相耦合；跨模块需求应由本模块创建后经 provider 暴露。
 	// 注意对比基准是 MODULE_PREFIX（目录名）而非 API_PREFIX——D-M8 映射时线上前缀
 	// 属于别的命名空间，认领身份仍按目录名。
-	if (import.meta.env.DEV && ctx.module.name !== MODULE_PREFIX.slice(1)) {
-		console.warn(`[ojm-api] 模块 "${ctx.module.name}" 正在认领 ${MODULE_PREFIX} 的 client——跨模块认领会共享 request 单槽、卸载互相耦合；应由 "${MODULE_PREFIX.slice(1)}" 模块在自身 onInit 创建，跨模块需求经 provider 暴露。`);
+	if (import.meta.env.DEV && ctx.module.name !== MODULE_OWNER.slice(1)) {
+		console.warn(`[ojm-api] 模块 "${ctx.module.name}" 正在认领 ${MODULE_PREFIX} 的 client——跨模块认领会共享 request 单槽、卸载互相耦合；应由 "${MODULE_OWNER.slice(1)}" 模块在自身 onInit 创建，跨模块需求经 provider 暴露。`);
 	}
 	ctx.register.apiPrefix(API_PREFIX);
 	bindRequest(ctx.utils.request);

package/templates/src/app/web/notification/pages/center/index.tsx

@@ -11,7 +11,7 @@ import {
 	notificationNotificationsGet,
 	notificationNotificationsReadAllPost,
 	notificationNotificationsReadPost,
-} from "../../__client/api";
+} from "../../__client";
 
 type Item = Awaited<ReturnType<typeof notificationNotificationsGet>>[number];
 type CatFilter = "all" | NoticeCategory;

package/templates/src/app/web/notification/routes.ts

@@ -4,7 +4,7 @@ import { BellOutlined } from "@ant-design/icons";
 
 import { createElement, lazy } from "react";
 
-import { createNotificationClient } from "./__client/api";
+import { createNotificationClient } from "./__client";
 
 const NotificationCenter = lazy(() => import("./pages/center"));
 

package/templates/src/app/web/personal-center/pages/my-profile/index.tsx

@@ -7,7 +7,7 @@ import {
 import { BasicContent, FormAvatarItem, useUserStore } from "@oj-module/runtime";
 import { App, Form, Input } from "antd";
 
-import { personalCenterProfilePost } from "../../__client/api";
+import { personalCenterProfilePost } from "../../__client";
 
 export default function Profile() {
 	const currentUser = useUserStore();

package/templates/src/app/web/personal-center/routes.ts

@@ -3,7 +3,7 @@ import { ProfileCardIcon, RiAccountCircleLine, useAuthStore } from "@oj-module/r
 
 import { createElement, lazy } from "react";
 
-import { createPersonalCenterClient } from "./__client/api";
+import { createPersonalCenterClient } from "./__client";
 
 const MyProfile = lazy(() => import("./pages/my-profile"));
 

package/templates/src/app/web/system/__client/api.schemas.ts

@@ -130,6 +130,7 @@ export const schemas = {
 	"action": z.string().optional(),
 	"username": z.string().optional(),
 	"module": z.string().optional(),
+	"page": z.number().min(1).optional(),
 	"limit": z.number().min(1).max(200).optional()
 }),
 		data: z.object({

package/templates/src/app/web/system/locales/en-US.json

@@ -99,10 +99,9 @@
 	},
 	"oplog": {
 		"filterAction": "Action",
-		"filterUsername": "Username (prefix)",
+		"filterUsername": "Username (contains)",
 		"filterModule": "Module",
-		"filterLimit": "Limit",
-		"truncated": "Results truncated by limit; narrow your filters",
+		"total": "{{total}} total",
 		"columns": {
 			"time": "Time",
 			"username": "Username",

package/templates/src/app/web/system/locales/zh-CN.json

@@ -99,10 +99,9 @@
 	},
 	"oplog": {
 		"filterAction": "操作 (action)",
-		"filterUsername": "用户名（前缀匹配）",
+		"filterUsername": "用户名（包含匹配）",
 		"filterModule": "模块",
-		"filterLimit": "条数上限",
-		"truncated": "结果已按上限截断，请缩小过滤范围",
+		"total": "共 {{total}} 条",
 		"columns": {
 			"time": "时间",
 			"username": "用户名",

package/templates/src/app/web/system/pages/departments/index.tsx

@@ -1,4 +1,4 @@
-import type { SystemDepartmentsGetData, SystemDepartmentsMembersGetData } from "../../__client/api";
+import type { SystemDepartmentsGetData, SystemDepartmentsMembersGetData } from "../../__client";
 
 import { PlusOutlined } from "@ant-design/icons";
 import { useMutation, useQuery, useQueryClient } from "@tanstack/react-query";
@@ -32,7 +32,7 @@ import {
 	systemDepartmentsPost,
 	systemDepartmentsPut,
 	systemUsersGet,
-} from "../../__client/api";
+} from "../../__client";
 import { explainError, isForbidden } from "../errors";
 import { ForbiddenPanel } from "../forbidden";
 import { WecomSyncBar } from "./sync-bar";

package/templates/src/app/web/system/pages/login-methods/index.tsx

@@ -2,7 +2,7 @@ import { useQuery } from "@tanstack/react-query";
 import { Card, Descriptions, Tag } from "antd";
 import { useTranslation } from "react-i18next";
 
-import { systemLoginMethodsGet } from "../../__client/api";
+import { systemLoginMethodsGet } from "../../__client";
 
 const METHOD_KEY: Record<string, string> = {
 	local: "system:loginMethodsPage.methodLocal",

package/templates/src/app/web/system/pages/oplog/index.tsx

@@ -1,10 +1,10 @@
 import { useQuery } from "@tanstack/react-query";
-import { Alert, Button, Form, Input, InputNumber, Space, Table, Tooltip } from "antd";
+import { Button, Form, Input, Space, Table, Tooltip } from "antd";
 import dayjs from "dayjs";
 import { useState } from "react";
 import { useTranslation } from "react-i18next";
 
-import { systemOplogGet } from "../../__client/api";
+import { systemOplogGet } from "../../__client";
 import { isForbidden } from "../errors";
 import { ForbiddenPanel } from "../forbidden";
 
@@ -12,20 +12,26 @@ interface OplogFilters {
 	action?: string
 	username?: string
 	module?: string
-	limit?: number
 }
 
+const DEFAULT_PAGE_SIZE = 20;
+const PAGE_SIZE_OPTIONS = [20, 50, 100];
+
 /**
- * 操作日志（AC1-29/D13）：action 精确 / username 前缀 / module 精确，limit 钳 200。
- * truncated=true 表示结果被截断（服务端 paged），顶部提示缩小过滤范围。
+ * 操作日志（AC1-29/D13）：action 精确 / username 包含 / module 精确。
+ *
+ * 分页交给服务端：`page` + `limit`（每页条数，钳 200），响应带 `total`，页面按 total 出页码。
+ * 不再有「结果被截断」的横幅——记录再多也能通过页码翻到，不必靠缩小过滤范围。
  */
 export default function OplogPage() {
 	const { t } = useTranslation();
 	const [filters, setFilters] = useState<OplogFilters>({});
+	const [page, setPage] = useState(1);
+	const [size, setSize] = useState(DEFAULT_PAGE_SIZE);
 
 	const query = useQuery({
-		queryKey: ["system", "oplog", filters],
-		queryFn: () => systemOplogGet(filters),
+		queryKey: ["system", "oplog", filters, page, size],
+		queryFn: () => systemOplogGet({ ...filters, page, limit: size }),
 	});
 
 	if (query.error && isForbidden(query.error))
@@ -50,12 +56,14 @@ export default function OplogPage() {
 		<Space direction="vertical" style={{ width: "100%", paddingTop: 16 }}>
 			<Form
 				layout="inline"
-				onFinish={values => setFilters({
-					action: values.action || undefined,
-					username: values.username || undefined,
-					module: values.module || undefined,
-					limit: values.limit || undefined,
-				})}
+				onFinish={(values) => {
+					setFilters({
+						action: values.action || undefined,
+						username: values.username || undefined,
+						module: values.module || undefined,
+					});
+					setPage(1);
+				}}
 			>
 				<Form.Item name="action" label={t("system:oplog.filterAction")}>
 					<Input allowClear />
@@ -66,25 +74,42 @@ export default function OplogPage() {
 				<Form.Item name="module" label={t("system:oplog.filterModule")}>
 					<Input allowClear />
 				</Form.Item>
-				<Form.Item name="limit" label={t("system:oplog.filterLimit")} initialValue={50}>
-					<InputNumber min={1} max={200} />
-				</Form.Item>
 				<Form.Item>
 					<Space>
 						<Button type="primary" htmlType="submit">{t("system:common.search")}</Button>
-						<Button onClick={() => { setFilters({}); }}>
+						<Button
+							onClick={() => {
+								setFilters({});
+								setPage(1);
+							}}
+						>
 							{t("system:common.reset")}
 						</Button>
 					</Space>
 				</Form.Item>
 			</Form>
-			{query.data?.truncated ? <Alert type="warning" showIcon message={t("system:oplog.truncated")} /> : null}
 			<Table
 				rowKey="id"
 				loading={query.isLoading}
 				dataSource={query.data?.list ?? []}
 				columns={columns}
-				pagination={{ hideOnSinglePage: true, pageSize: 50 }}
+				pagination={{
+					current: page,
+					pageSize: size,
+					total: query.data?.total ?? 0,
+					showSizeChanger: true,
+					pageSizeOptions: PAGE_SIZE_OPTIONS,
+					showTotal: total => t("system:oplog.total", { total }),
+					onChange: (nextPage, nextSize) => {
+						// 改每页条数后原页码可能越界：统一回第 1 页
+						if (nextSize !== size) {
+							setSize(nextSize);
+							setPage(1);
+							return;
+						}
+						setPage(nextPage);
+					},
+				}}
 			/>
 		</Space>
 	);

package/templates/src/app/web/system/pages/roles/index.tsx

@@ -1,12 +1,13 @@
-import type { SystemPermissionsGetData, SystemRolesGetData } from "../../__client/api";
+import type { SystemPermissionsGetData, SystemRolesGetData } from "../../__client";
 
 import { useQuery } from "@tanstack/react-query";
 import { Alert, Space, Table, Tabs, Tag } from "antd";
 import { useTranslation } from "react-i18next";
 
-import { systemPermissionsGet, systemRolesGet } from "../../__client/api";
+import { systemPermissionsGet, systemRolesGet } from "../../__client";
 import { isForbidden } from "../errors";
 import { ForbiddenPanel } from "../forbidden";
+import { visibleRoles } from "./visible-roles";
 
 type RoleRow = SystemRolesGetData[number];
 type PermRow = SystemPermissionsGetData[number];
@@ -19,6 +20,7 @@ export default function RolesPage() {
 	const { t } = useTranslation();
 	const rolesQuery = useQuery({ queryKey: ["system", "roles"], queryFn: systemRolesGet });
 	const permsQuery = useQuery({ queryKey: ["system", "permissions"], queryFn: systemPermissionsGet });
+	const rows = visibleRoles(rolesQuery.data ?? []);
 
 	if ((rolesQuery.error && isForbidden(rolesQuery.error)) || (permsQuery.error && isForbidden(permsQuery.error)))
 		return <ForbiddenPanel t={t} error={rolesQuery.error ?? permsQuery.error} />;
@@ -75,7 +77,7 @@ export default function RolesPage() {
 					children: (
 						<>
 							<Alert style={{ marginBottom: 12 }} type="info" showIcon message={t("system:rolesPage.readonlyHint")} />
-							<Table rowKey="name" loading={rolesQuery.isLoading} dataSource={rolesQuery.data ?? []} columns={roleColumns} pagination={{ hideOnSinglePage: true }} />
+							<Table rowKey="name" loading={rolesQuery.isLoading} dataSource={rows} columns={roleColumns} pagination={{ hideOnSinglePage: true }} />
 						</>
 					),
 				},

package/templates/src/app/web/system/pages/roles/visible-roles.ts

@@ -0,0 +1,14 @@
+/**
+ * 角色展示页的可见范围（纯函数，便于用例直接钉住，不必起 React）。
+ *
+ * superadmin 是平台级角色（跨租户），不属于「站点可分配的角色目录」；列在角色页只会让人
+ * 误以为能改它的绑定，故展示层隐去。
+ *
+ * **只在这一层过滤**：后端 listRoles() 必须原样返回 superadmin——成员资格页
+ * （users/roles.tsx）还要拿它作为可授予项（仅 superadmin 可勾选，见那里的 disabled 逻辑）。
+ */
+export const HIDDEN_ROLE = "superadmin";
+
+export function visibleRoles<T extends { name: string }>(roles: readonly T[]): T[] {
+	return roles.filter(r => r.name !== HIDDEN_ROLE);
+}

package/templates/src/app/web/system/pages/settings/index.tsx

@@ -1,13 +1,13 @@
 import type { TFunction } from "i18next";
 
-import type { SystemSettingsGetData } from "../../__client/api";
+import type { SystemSettingsGetData } from "../../__client";
 
 import { useMutation, useQuery, useQueryClient } from "@tanstack/react-query";
 import { App, Button, Card, Input, Space, Switch, Tooltip } from "antd";
 import { useState } from "react";
 import { useTranslation } from "react-i18next";
 
-import { systemSettingsGet, systemSettingsPut } from "../../__client/api";
+import { systemSettingsGet, systemSettingsPut } from "../../__client";
 import { explainError, isForbidden } from "../errors";
 import { ForbiddenPanel } from "../forbidden";
 

package/templates/src/app/web/system/pages/users/can-manage.ts

@@ -0,0 +1,21 @@
+/**
+ * /system/users 行级操作门禁：只有 superadmin 能改 superadmin 账号。
+ *
+ * 与后端 `domain/users.ts::assertCanManageTarget` 同一条红线（只有 superadmin 能改
+ * superadmin 的口令/状态/资料/角色）。前端这层只为「不给会 403 的按钮」——灰色可点却不
+ * 生效比报错更糟——真正的防线在服务端：admin 直打接口同样会被 403 挡住。
+ *
+ * 单独成文件是为了可测：vitest 跑在 node 环境，没有 jsdom，整页 render 不了。
+ */
+export const PLATFORM_ROLE = "superadmin";
+
+/**
+ * @param myRoles 当前登录者的角色
+ * @param targetRoles 行上用户的角色
+ * @returns 是否允许对目标账号执行管理操作（改密/启停/改资料/成员资格）
+ */
+export function canManageUser(myRoles: readonly string[], targetRoles: readonly string[]): boolean {
+	if (!targetRoles.includes(PLATFORM_ROLE))
+		return true;
+	return myRoles.includes(PLATFORM_ROLE);
+}