@oj-module/cli 0.2.54 → 0.2.57

package/templates/src/{_platform/api → app/api/_platform}/_lifecycle/installer.ts

@@ -31,7 +31,7 @@ import { download } from "./steps/download";
 import { extract } from "./steps/extract";
 import { maxAppliedSeq, migrate, rollbackGuard } from "./steps/migrate";
 import { preflight } from "./steps/preflight";
-import { registerSolution } from "./steps/register";
+import { registerSolution, resolveDeclTitles, siteLanguage } from "./steps/register";
 import { reloadAndAssert } from "./steps/reload";
 import { smoke } from "./steps/smoke";
 import { verify } from "./steps/verify";
@@ -261,7 +261,8 @@ async function lockCommitStage(req: InstallRequest): Promise<StageResult> {
 }
 
 /**
- * manifest.yaml（C2 形状）→ SolutionDecl（D10 出口入参）：roles[].title_key → title、
+ * manifest.yaml（C2 形状）→ SolutionDecl（D10 出口入参）：roles[].title/title_key 透传
+ * （title 此刻仍是原始 key，registering 段落库前经 resolveDeclTitles 按站点语言解析，R1/R4）、
  * settings.groups[].items[] 摊平、enum options 序列化为 JSON 字符串（sys_setting.options 形态）。
  */
 export function declOf(req: InstallRequest): SolutionDecl {
@@ -297,6 +298,7 @@ export function declOf(req: InstallRequest): SolutionDecl {
 		roles: (Array.isArray(m.roles) ? m.roles : []).filter(isObj).map(r => ({
 			name: typeof r.name === "string" ? r.name : "",
 			title: typeof r.title_key === "string" ? r.title_key : "",
+			title_key: typeof r.title_key === "string" ? r.title_key : undefined,
 			permissions: Array.isArray(r.permissions) ? r.permissions.map(String) : [],
 		})),
 		// 顶层 permissions[] 的 code：无角色权限点（系统预置点）唯一能落库的来源，别在此丢弃
@@ -316,7 +318,10 @@ export function declOf(req: InstallRequest): SolutionDecl {
 }
 
 async function registerStage(req: InstallRequest): Promise<StageResult> {
-	return registerSolution(declOf(req));
+	// R1/R4：落库前按站点默认语言解析角色 title（数据源 = 包内 locales，staging 此刻仍在；
+	// 解析失败回退原文绝不失败安装）。fsFace 注入读文件面（测试 stub 同 DIP 纪律）。
+	const decl = await resolveDeclTitles(declOf(req), req.staging, await siteLanguage(), p => fsFace().readFile(p));
+	return registerSolution(decl);
 }
 
 async function deployWebStage(req: InstallRequest): Promise<StageResult> {

package/templates/src/{_platform/api → app/api/_platform}/_lifecycle/steps/register.ts

@@ -65,6 +65,59 @@ export interface SolutionSnapshot {
 	permissions: string[]
 }
 
+/** 角色 title 的裸 i18n key 形状（`pm:role.sales`；0018 迁移回填同口径） */
+const TITLE_KEY_SHAPE = /^[a-z][\w-]*:/;
+
+/**
+ * 站点默认语言（R4）：sys_setting `site.language`，无行/空值回退 zh-CN
+ * （与前端 preference 缺省同值；未来设置面落库即自动生效）。
+ */
+export async function siteLanguage(): Promise<string> {
+	const rows = await db.table("sys_setting").select(["value"]).where({ field: "key", op: "eq", value: "site.language" }).all() as Array<{ value: string | null }>;
+	const v = rows[0]?.value;
+	return typeof v === "string" && v.trim() ? v.trim() : "zh-CN";
+}
+
+/**
+ * 角色 title 落库前解析（R1，registering 段消费；升级重装同路径 = R3 重解析）。
+ * 仅 title 命中 key 形状才尝试；ns（冒号前段）=== 模块名才读本包 locale（跨 ns 不越界）；
+ * dotted path 取值须为非空 string。数据源 = 方案包 `web/modules/<ns>/locales/<lang>.json`
+ * （bundle 侧随包，见 cli bundle.ts）。任何失败（无文件/坏 JSON/缺 key/非 string）保留原文
+ * 并继续——翻译永不失败安装（R1 红线）。
+ */
+export async function resolveDeclTitles(
+	decl: SolutionDecl,
+	stagingDir: string,
+	lang: string,
+	readFile: (path: string) => Promise<Uint8Array>,
+): Promise<SolutionDecl> {
+	const roles = [...decl.roles];
+	for (let i = 0; i < roles.length; i++) {
+		const title = roles[i]!.title;
+		if (!TITLE_KEY_SHAPE.test(title)) {
+			continue;
+		}
+		const ns = title.slice(0, title.indexOf(":"));
+		if (ns !== decl.module) {
+			continue;
+		}
+		try {
+			const bytes = await readFile(`${stagingDir}/web/modules/${ns}/locales/${lang}.json`);
+			let node: unknown = JSON.parse(new TextDecoder().decode(bytes));
+			for (const part of title.slice(title.indexOf(":") + 1).split(".")) {
+				node = node == null ? undefined : (node as Record<string, unknown>)[part];
+			}
+			if (typeof node === "string" && node.trim()) {
+				roles[i] = { ...roles[i]!, title: node };
+			}
+		}
+		catch {
+			// 解析失败 = 回退原文（R1）
+		}
+	}
+	return { ...decl, roles };
+}
+
 /** 首段提取（/wiki/docs → wiki）——占用判定粒度：前缀段冲突即整段首段比较（P1-5 备案③） */
 function firstSeg(path: string): string {
 	return path.split("/")[1] ?? "";

package/templates/src/{_platform/api → app/api/_platform}/_shared/service/domain/roles.ts

@@ -9,6 +9,8 @@ export interface RoleRow {
 	name: string
 	module: string
 	title: string | null
+	/** 原始 i18n key（R2：solution 角色安装期解析锚；custom/builtin 为 null，UI 据此实时翻译） */
+	title_key: string | null
 	description: string | null
 	builtin: boolean
 	deprecated: boolean
@@ -60,7 +62,7 @@ async function invalidateHolders(roleName: string): Promise<void> {
 }
 
 export async function listRoles(): Promise<RoleRow[]> {
-	const roles = await db.table("sys_role").select(["name", "module", "title", "description", "builtin", "deprecated"]).orderBy([{ field: "name" }]).all() as Array<Record<string, unknown>>;
+	const roles = await db.table("sys_role").select(["name", "module", "title", "title_key", "description", "builtin", "deprecated"]).orderBy([{ field: "name" }]).all() as Array<Record<string, unknown>>;
 	const holders = await db.table("sys_user_role").select(["role_name", { fn: "count", as: "c" }]).groupBy(["role_name"]).all() as Array<{ role_name: string, c: number }>;
 	const binds = await db.table("sys_role_permission").select(["role_name", "permission_code"]).orderBy([{ field: "permission_code" }]).all() as Array<{ role_name: string, permission_code: string }>;
 	const holderMap = new Map(holders.map(h => [h.role_name, Number(h.c)]));
@@ -71,6 +73,7 @@ export async function listRoles(): Promise<RoleRow[]> {
 		name: String(r.name),
 		module: String(r.module),
 		title: r.title == null ? null : String(r.title),
+		title_key: r.title_key == null ? null : String(r.title_key),
 		description: r.description == null ? null : String(r.description),
 		builtin: Number(r.builtin) === 1,
 		deprecated: Number(r.deprecated) === 1,

package/templates/src/{_platform/api → app/api/_platform}/_shared/service/domain/solution-perms.ts

@@ -7,7 +7,10 @@
 export interface SolutionRoleDecl {
 	/** 完整角色名（含 `<module>.` 前缀，AC1-11 由安装器侧前缀校验） */
 	name: string
+	/** 解析后的可读文本（站点默认语言；解析失败 = 原始 key，R1 回退） */
 	title: string
+	/** 原始 i18n key（R2：UI 实时翻译锚，对齐 sys_permission.title_key 先例；解析失败与 title 同值） */
+	title_key?: string
 	/** 声明绑定：insert-if-absent 写入，管理员调整永不被覆写（AC1-15） */
 	permissions?: string[]
 }
@@ -37,12 +40,13 @@ export async function upsertSolutionPerms(m: SolutionManifest): Promise<UpsertRe
 
 	for (const role of m.roles) {
 		const existing = await db.table("sys_role").select(["name"]).where({ field: "name", op: "eq", value: role.name }).all() as unknown[];
-		// upsert：行存在只覆盖元数据（title），name/builtin 不动（AC2-2 元数据覆盖）
+		// upsert：行存在只覆盖元数据（title/title_key——R3 升级即重解析：新包 locale 改进随升级传播），
+		// name/builtin 不动（AC2-2 元数据覆盖）
 		if (existing.length) {
-			await db.table("sys_role").update({ title: role.title }).where({ field: "name", op: "eq", value: role.name }).run();
+			await db.table("sys_role").update({ title: role.title, title_key: role.title_key ?? null }).where({ field: "name", op: "eq", value: role.name }).run();
 		}
 		else {
-			await db.table("sys_role").insert({ name: role.name, module: m.module, title: role.title, builtin: 0 }).run();
+			await db.table("sys_role").insert({ name: role.name, module: m.module, title: role.title, title_key: role.title_key ?? null, builtin: 0 }).run();
 			// 声明绑定只在角色创建时写一次（角色级 insert-if-absent，AC1-15 红线）：
 			// 升级/重装对已存在角色永不补写声明绑定——管理员撤过的绑定不复活；
 			// 新版本给既有角色新增权限点时，由管理员显式勾选（insert-if-absent 的取舍边界，§9.5）。

package/templates/src/{_platform/api → app/api/_platform}/_shared/service/domain/users.ts

@@ -1,5 +1,6 @@
 // 账号管理应用服务（管理域 /api/system/users，AC1-7~10 + B6 建号加固）。
 // 红线：admin 不碰 superadmin/admin 成员资格（AC1-8，service 按 actor 角色自查）；
+// 只有 superadmin 能改 superadmin 账号（口令/启停/资料/删除/角色，见 assertCanManageTarget）；
 // 禁止操作自己（AC1-10 注）；最后 superadmin 兜底（服务端二次防线）；
 // 角色唯一权威源 sys_user_role + 写时失效（AC1-7/D10）；禁用/重置口令级联删 refresh（§3.1）。
 // bcrypt 经注入（Node 侧全局不可 stub，同 session.ts 约定）。
@@ -59,6 +60,27 @@ function assertNotSelf(actorId: number, targetUid: number): void {
 		fail(400, "cannot operate on yourself");
 }
 
+/**
+ * 红线（RBAC 保护红线）：只有 superadmin 能改 superadmin。
+ *
+ * 与 `assertMembershipAllowed` 的分工：那条按**被授予的角色**管提权方向（谁能任命 admin /
+ * superadmin），这条按**目标账号当前的角色**管反向——谁能动一个已经是 superadmin 的号。
+ * 缺了它，同一租户的 admin 可以：重置 superadmin 口令（知道口令即接管账号，而 superadmin
+ * 是平台级、能跨租户）／把人禁用／把角色整集清空——后者连 `assertMembershipAllowed`
+ * 都拦不住（`next` 里没有 admin/superadmin 时它直接放行）。故口令/启停/资料/删除/角色
+ * 五条写路径统一走这里。
+ *
+ * 读角色走 `rolesOf()`，与写入同受请求租户注入约束：只能影响本租户的人。
+ */
+async function assertCanManageTarget(actorId: number, targetUid: number): Promise<void> {
+	const targetRoles = await rolesOf(Number(targetUid));
+	if (!targetRoles.includes("superadmin"))
+		return;
+	if ((await rolesOf(Number(actorId))).includes("superadmin"))
+		return;
+	fail(403, "modifying a superadmin requires superadmin");
+}
+
 /**
  * AC1-8（已修订）：成员资格提权守卫——按**被授予的角色**分层，不再一刀切。
  *
@@ -200,6 +222,7 @@ export async function updateUserRoles(actorId: number, targetUid: number, roles:
 	const target = await db.table("users").select(["id"]).where({ field: "id", op: "eq", value: targetUid }).all();
 	if (!target.length)
 		fail(404, "user not found");
+	await assertCanManageTarget(actorId, targetUid);
 	const next = [...new Set(roles.map(String))];
 	if (next.length) {
 		const known = await db.table("sys_role").select(["name"]).where({ field: "name", op: "in", value: next }).all();
@@ -258,6 +281,7 @@ export async function changePasswordByAdmin(actorId: number, targetUid: number,
 	const rows = await db.table("users").select(["id"]).where({ field: "id", op: "eq", value: targetUid }).all();
 	if (!rows.length)
 		fail(404, "user not found");
+	await assertCanManageTarget(actorId, targetUid);
 	const hash = await deps.bcryptHash(String(newPassword));
 	await db.tx(async (t) => {
 		await t.table("users").update({ password_hash: hash, must_change: 1 }).where({ field: "id", op: "eq", value: targetUid }).run();
@@ -273,6 +297,7 @@ export async function setForbidden(actorId: number, targetUid: number, forbidden
 	const rows = await db.table("users").select(["id"]).where({ field: "id", op: "eq", value: targetUid }).all();
 	if (!rows.length)
 		fail(404, "user not found");
+	await assertCanManageTarget(actorId, targetUid);
 	await db.tx(async (t) => {
 		await t.table("users").update({ is_forbidden: forbidden ? 1 : 0 }).where({ field: "id", op: "eq", value: targetUid }).run();
 		if (forbidden)
@@ -294,6 +319,7 @@ export async function updateUserProfile(actorId: number, targetUid: number, patc
 	const rows = await db.table("users").select(["id"]).where({ field: "id", op: "eq", value: targetUid }).all();
 	if (!rows.length)
 		fail(404, "user not found");
+	await assertCanManageTarget(actorId, targetUid);
 	const cols: Record<string, unknown> = {};
 	if (patch.displayName !== undefined)
 		cols.display_name = patch.displayName == null ? null : String(patch.displayName).trim() || null;
@@ -320,6 +346,7 @@ export async function deleteUser(actorId: number, targetUid: number): Promise<vo
 	const rows = await db.table("users").select(["id", "username"]).where({ field: "id", op: "eq", value: targetUid }).all() as Array<{ id: number, username: string }>;
 	if (!rows.length)
 		fail(404, "user not found");
+	await assertCanManageTarget(actorId, targetUid);
 	const roles = await rolesOf(Number(targetUid));
 	if (roles.includes("superadmin")) {
 		const supers = await db.table("sys_user_role").select([{ fn: "count", as: "c" }]).where({ field: "role_name", op: "eq", value: "superadmin" }).all() as Array<{ c: number }>;

package/templates/src/{_platform/api → app/api/_platform}/_shared/service/infra/oplog.ts

@@ -21,7 +21,7 @@ export interface OplogPage {
 	truncated: boolean
 }
 
-export async function searchOplog(filter: { action?: unknown, username?: unknown, module?: unknown, limit?: unknown }): Promise<OplogPage> {
+export async function searchOplog(filter: { action?: unknown, username?: unknown, module?: unknown, page?: unknown, limit?: unknown }): Promise<OplogPage> {
 	// 构造器（v0.1.82）：可选过滤走 whereIf，条件写一份（mk 工厂），count + list 复用；
 	// username 走语义 op contains（引擎转义 %/_/!，等价旧 LIKE ? ESCAPE '!' 的 %kw%）。
 	// 照抄口径：devkit scenarios 场景 42 ④。
@@ -35,6 +35,8 @@ export async function searchOplog(filter: { action?: unknown, username?: unknown
 		.whereIf(action, { field: "action", op: "eq", value: action })
 		.whereIf(module, { field: "module", op: "eq", value: module })
 		.whereIf(username, { field: "username", op: "contains", value: username });
-	const r = await pagedFactory<OplogRow>(mk, { size: filter.limit });
+	// page/limit 成对：limit 是每页条数（pageArgs 钳 200），缺省第 1 页 / 20 条。
+	// total 由 count 查询单独给出，页面按 total 算页数——不再靠 truncated 提示「结果被截断」。
+	const r = await pagedFactory<OplogRow>(mk, { page: filter.page, size: filter.limit });
 	return { list: r.list, total: r.total, truncated: r.truncated };
 }

package/templates/src/app/api/_platform/migrations/0017__users_employee_no.mysql.sql

@@ -0,0 +1,7 @@
+-- 0017__users_employee_no（mysql 方言）：工号列 + 租户内唯一。列语义同 0017__users_employee_no.sql 头注释。
+-- 差异（沿用 0015__tenant.mysql.sql 惯例）：
+--   · 键列不能用 TEXT 落唯一键 → 按业务长度收窄为 VARCHAR(64)；
+--   · 无部分索引 → 普通唯一键，NULL 在 MySQL 里可重复出现，效果等同「有值才唯一」；
+--   · (255 + 64) × 4B = 1276B < InnoDB 3072B 上限。
+ALTER TABLE users ADD COLUMN employee_no VARCHAR(64) NULL;
+ALTER TABLE users ADD UNIQUE KEY uk_users_employee_no (tenant_id, employee_no);

package/templates/src/app/api/_platform/migrations/0017__users_employee_no.pg.sql

@@ -0,0 +1,4 @@
+-- 0017__users_employee_no（postgres 方言）：工号列 + 租户内唯一。列语义同 0017__users_employee_no.sql 头注释。
+-- 差异（沿用 0016__org.pg.sql 惯例）：TEXT 在 pg 合法且可用于部分唯一索引，无需收窄类型。
+ALTER TABLE users ADD COLUMN employee_no TEXT;
+CREATE UNIQUE INDEX IF NOT EXISTS uk_users_employee_no ON users (tenant_id, employee_no) WHERE employee_no IS NOT NULL;

package/templates/src/app/api/_platform/migrations/0017__users_employee_no.sql

@@ -0,0 +1,8 @@
+-- 0017__users_employee_no（sqlite 方言）：工号列 + 租户内唯一
+--
+-- 为什么单开一列而不是复用 display_name / 外部 origin_id：用户 CSV 导入导出要与源系统
+-- 9 列表头完全互通，「工号」必须是独立可查字段。
+-- 可空是必需的：存量本地账号没有工号，外部同步号也可能不带；唯一性只在有值时有意义，
+-- 故用部分索引（sqlite/pg 都支持 WHERE），mysql 侧靠「NULL 可重复」的唯一键等效。
+ALTER TABLE users ADD COLUMN employee_no TEXT;
+CREATE UNIQUE INDEX IF NOT EXISTS uk_users_employee_no ON users (tenant_id, employee_no) WHERE employee_no IS NOT NULL;

package/templates/src/app/api/_platform/migrations/0018__sys_role_title_key.mysql.sql

@@ -0,0 +1,3 @@
+-- 0018__sys_role_title_key（mysql 方言）：列语义同 0018__sys_role_title_key.sql 头注释（R2 回填）。
+ALTER TABLE sys_role ADD COLUMN title_key TEXT NULL;
+UPDATE sys_role SET title_key = title WHERE builtin = 0 AND title REGEXP '^[a-z][A-Za-z0-9_-]*:';

package/templates/src/app/api/_platform/migrations/0018__sys_role_title_key.pg.sql

@@ -0,0 +1,3 @@
+-- 0018__sys_role_title_key（postgres 方言）：列语义同 0018__sys_role_title_key.sql 头注释（R2 回填）。
+ALTER TABLE sys_role ADD COLUMN title_key TEXT;
+UPDATE sys_role SET title_key = title WHERE builtin = 0 AND title ~ '^[a-z][A-Za-z0-9_-]*:';

package/templates/src/app/api/_platform/migrations/0018__sys_role_title_key.sql

@@ -0,0 +1,8 @@
+-- 0018__sys_role_title_key（sqlite 方言）：角色显示名双列（R2，计划 docs/plans/20261103-0948-role-title-translate）。
+-- title = 安装期解析文本（站点默认语言）；title_key = 原始 i18n key（UI 实时翻译锚，
+-- 对齐 sys_permission.title_key 先例）。可空：内置角色与 custom 角色无 key。
+-- 回填口径：builtin=0 且 title 命中裸 key 形状。sqlite 无 REGEXP → GLOB '[a-z]*:*'
+-- （首字符小写字母 + 含冒号的近似）；真实数据里含冒号的 title 只可能是裸 key
+-- （内置中文/管理员文本不含冒号），pg/mysql 两侧用完整正则同义钉死。
+ALTER TABLE sys_role ADD COLUMN title_key TEXT;
+UPDATE sys_role SET title_key = title WHERE builtin = 0 AND title GLOB '[a-z]*:*';

package/templates/src/{_platform/api → app/api/_platform}/schema.yaml

@@ -37,6 +37,11 @@ tables:
       activated: {type: integer, null: false}
       # 职务（与来源无关的通用字段）
       position: {type: text}
+      # 工号（0017，可空）：与姓名/用户名分开的独立工号列，租户内有值时唯一。
+      # 必须在这里声明——列只落库而不进白名单时，任何模块 select 它都会被构造器拒为
+      # `unknown column 'employee_no'`（/system/departments 依赖 /system/users 的选人列表，
+      # 曾因此在打开部门页时整页报错）。
+      employee_no: {type: text}
       # 外部源侧的状态快照（企微 1/2/4/5）。**绝不**自动改写 is_forbidden——那会和
       # 本站管理员的手动启停互相覆盖（方案 §4.3）
       external_status: {type: integer}
@@ -95,6 +100,8 @@ tables:
       name: {type: text, null: false}
       module: {type: text, null: false}
       title: {type: text}
+      # 原始 i18n key（R2，0018）：title = 安装期解析文本，本列存原文供 UI 实时翻译（sys_permission 先例）
+      title_key: {type: text}
       description: {type: text}
       builtin: {type: integer, null: false}
       deprecated: {type: integer, null: false}

package/templates/src/{auth/api → app/api/auth}/_shared/wecom/replay.ts

@@ -43,7 +43,13 @@ export function runtimeReplayGate(): ReplayGate {
 		incr: key => kv.incr(key),
 		expire: (key, ttlSecs) => kv.expire(key, ttlSecs),
 		get: key => kv.get(key),
-		set: async (key, ttlSecs) => { await kv.set(key, "1"); if (!(await kv.expire(key, ttlSecs))) { log.warn("wecom applied marker ttl not set", "key", key); await kv.del(key); } },
+		set: async (key, ttlSecs) => {
+			await kv.set(key, "1");
+			if (!(await kv.expire(key, ttlSecs))) {
+				log.warn("wecom applied marker ttl not set", "key", key);
+				await kv.del(key);
+			}
+		},
 		del: key => kv.del(key),
 		now: () => Math.floor(Date.now() / 1000),
 	};
@@ -61,7 +67,7 @@ export class ReplayAlreadyApplied extends Error {
 
 /** 处理成功后调用：标记该 nonce 已落库成功，供重推幂等回 success（避免首次偏慢被企微判超时、重推又被重放守卫挡成 400）。 */
 export async function markApplied(nonce: string, gate: ReplayGate): Promise<void> {
-	await gate.set("wecom:applied:" + nonce, NONCE_TTL_SECS);
+	await gate.set(`wecom:applied:${nonce}`, NONCE_TTL_SECS);
 }
 
 /**
@@ -85,7 +91,7 @@ export async function guardReplay(timestampRaw: string, nonce: string, gate: Rep
 	if (seen !== 1) {
 		// 重推场景：若首次处理已成功落库（标了 applied 标记），直接幂等回 success，
 		// 不让企微卡在「应用安装失败」。未标记者说明首推仍在进行或已失败（失败会 release 让重推重放），维持 400。
-		const applied = await gate.get("wecom:applied:" + nonce);
+		const applied = await gate.get(`wecom:applied:${nonce}`);
 		if (applied)
 			throw new ReplayAlreadyApplied();
 		fail(400, "回调 nonce 重复：同一条指令回调已被处理过（重放请求已拒绝）");

package/templates/src/{auth/api → app/api/auth}/_shared/wecom/tenant-admin.ts

@@ -61,15 +61,12 @@ function randomPassword(): string {
 
 /** 跨租户读：指定租户下的管理员行（asSystem 例外，见文件头） */
 async function adminRow(tenantId: string): Promise<{ id: number, must_change: number } | null> {
-	const rows = await db.asSystem().table("users")
-		.select(["id", "must_change"])
-		.where({
-			and: [
-				{ field: "tenant_id", op: "eq", value: tenantId },
-				{ field: "username", op: "eq", value: TENANT_ADMIN_USERNAME },
-			],
-		})
-		.all() as Array<{ id: number, must_change: number | null }>;
+	const rows = await db.asSystem().table("users").select(["id", "must_change"]).where({
+		and: [
+			{ field: "tenant_id", op: "eq", value: tenantId },
+			{ field: "username", op: "eq", value: TENANT_ADMIN_USERNAME },
+		],
+	}).all() as Array<{ id: number, must_change: number | null }>;
 	if (!rows.length)
 		return null;
 	return { id: Number(rows[0]!.id), must_change: Number(rows[0]!.must_change ?? 0) };
@@ -77,15 +74,12 @@ async function adminRow(tenantId: string): Promise<{ id: number, must_change: nu
 
 /** 跨租户读：该用户在本租户是否握着 admin 角色（账号存在 ≠ 有角色，可能被收回过） */
 async function hasAdminRole(tenantId: string, uid: number): Promise<boolean> {
-	const roles = await db.asSystem().table("sys_user_role")
-		.select(["role_name"])
-		.where({
-			and: [
-				{ field: "tenant_id", op: "eq", value: tenantId },
-				{ field: "user_id", op: "eq", value: uid },
-			],
-		})
-		.all() as Array<{ role_name: string }>;
+	const roles = await db.asSystem().table("sys_user_role").select(["role_name"]).where({
+		and: [
+			{ field: "tenant_id", op: "eq", value: tenantId },
+			{ field: "user_id", op: "eq", value: uid },
+		],
+	}).all() as Array<{ role_name: string }>;
 	return roles.some(r => String(r.role_name) === TENANT_ADMIN_ROLE);
 }
 
@@ -176,15 +170,12 @@ export async function setTenantAdminPassword(tenantId: string, password: string)
 	if (!row)
 		throw Object.assign(new Error("租户管理员建档失败"), { status: 500 });
 
-	await db.asSystem().table("users")
-		.update({ password_hash: await bcrypt.hash(password), must_change: 1 })
-		.where({
-			and: [
-				{ field: "tenant_id", op: "eq", value: tenantId },
-				{ field: "username", op: "eq", value: TENANT_ADMIN_USERNAME },
-			],
-		})
-		.run();
+	await db.asSystem().table("users").update({ password_hash: await bcrypt.hash(password), must_change: 1 }).where({
+		and: [
+			{ field: "tenant_id", op: "eq", value: tenantId },
+			{ field: "username", op: "eq", value: TENANT_ADMIN_USERNAME },
+		],
+	}).run();
 
 	// 改密后旧会话必须失效。跨租户删 refresh 走带 tenant_id 条件的裸 SQL
 	// （先例见 store.ts::revokeTenantSessions：守卫是 check-on-miss，带了租户条件即放行）

package/templates/src/{system/api → app/api/system}/oplog/api.ts

@@ -1,5 +1,5 @@
 import { respond } from "#/_platform/_shared/respond";
-// GET /api/system/oplog?action=&username=&module=&limit= —— 操作日志查询（AC1-29；D13 admin 可查）。
+// GET /api/system/oplog?action=&username=&module=&page=&limit= —— 操作日志查询（AC1-29；D13 admin 可查）。
 // POST /api/system/oplog —— 操作日志写入（C3；登录态即可，解决方案模块记录自身操作）。
 import { assertSystemAdmin, currentAccess } from "#/_platform/_shared/service/infra/access";
 import { recordOp } from "#/_platform/_shared/service/infra/audit";
@@ -16,10 +16,12 @@ get.schema = {
 		type: "object",
 		properties: {
 			action: { type: "string" },
-			// username 前缀匹配（service likePattern），非精确
+			// username 包含匹配（子串，service 走 contains），非精确
 			username: { type: "string" },
 			module: { type: "string" },
-			// 分页大小，service paged 钳 200
+			// 页码（1 起）；service 的 pageArgs 非法回落 1
+			page: { type: "number", minimum: 1 },
+			// 每页条数 1~200（schema 兜住；service 的 pageArgs 再钳一次）
 			limit: { type: "number", minimum: 1, maximum: 200 },
 		},
 	},

package/templates/src/{system/api → app/api/system}/roles/api.ts

@@ -19,11 +19,12 @@ get.response = {
 	type: "array",
 	items: {
 		type: "object",
-		required: ["name", "module", "title", "description", "builtin", "deprecated", "holders", "permissions"],
+		required: ["name", "module", "title", "title_key", "description", "builtin", "deprecated", "holders", "permissions"],
 		properties: {
 			name: { type: "string" },
 			module: { type: "string" },
 			title: { type: ["string", "null"] },
+			title_key: { type: ["string", "null"] },
 			description: { type: ["string", "null"] },
 			builtin: { type: "boolean" },
 			deprecated: { type: "boolean" },

package/templates/src/{_platform/web/__client/api.ts → app/web/_platform/__client/index.ts}

@@ -17,6 +17,9 @@ export const API_PREFIX = "/_platform";
 /** 认领身份前缀（契约 apiPrefix，字面等于模块目录名）：跨模块认领护栏对比基准 */
 export const MODULE_PREFIX = "/_platform";
 
+/** 认领方模块（web.config clientOwners 指定）：跨模块认领护栏对比基准 */
+export const MODULE_OWNER = "/app";
+
 /**
  * 模块 entry 的 onInit 里一行创建（构造即 install）：完成 apiPrefix 登记 +
  * scoped request 绑定，返回绑好前缀的端点函数集合。一模块一 client；
@@ -28,8 +31,8 @@ export function create_platformClient(ctx: ModuleContext) {
 	// 单槽、卸载互相耦合；跨模块需求应由本模块创建后经 provider 暴露。
 	// 注意对比基准是 MODULE_PREFIX（目录名）而非 API_PREFIX——D-M8 映射时线上前缀
 	// 属于别的命名空间，认领身份仍按目录名。
-	if (import.meta.env.DEV && ctx.module.name !== MODULE_PREFIX.slice(1)) {
-		console.warn(`[ojm-api] 模块 "${ctx.module.name}" 正在认领 ${MODULE_PREFIX} 的 client——跨模块认领会共享 request 单槽、卸载互相耦合；应由 "${MODULE_PREFIX.slice(1)}" 模块在自身 onInit 创建，跨模块需求经 provider 暴露。`);
+	if (import.meta.env.DEV && ctx.module.name !== MODULE_OWNER.slice(1)) {
+		console.warn(`[ojm-api] 模块 "${ctx.module.name}" 正在认领 ${MODULE_PREFIX} 的 client——跨模块认领会共享 request 单槽、卸载互相耦合；应由 "${MODULE_OWNER.slice(1)}" 模块在自身 onInit 创建，跨模块需求经 provider 暴露。`);
 	}
 	ctx.register.apiPrefix(API_PREFIX);
 	bindRequest(ctx.utils.request);

package/templates/src/{auth/web/__client/api.ts → app/web/auth/__client/index.ts}

@@ -17,6 +17,9 @@ export const API_PREFIX = "/auth";
 /** 认领身份前缀（契约 apiPrefix，字面等于模块目录名）：跨模块认领护栏对比基准 */
 export const MODULE_PREFIX = "/auth";
 
+/** 认领方模块（web.config clientOwners 指定）：跨模块认领护栏对比基准 */
+export const MODULE_OWNER = "/app";
+
 /**
  * 模块 entry 的 onInit 里一行创建（构造即 install）：完成 apiPrefix 登记 +
  * scoped request 绑定，返回绑好前缀的端点函数集合。一模块一 client；
@@ -28,8 +31,8 @@ export function createAuthClient(ctx: ModuleContext) {
 	// 单槽、卸载互相耦合；跨模块需求应由本模块创建后经 provider 暴露。
 	// 注意对比基准是 MODULE_PREFIX（目录名）而非 API_PREFIX——D-M8 映射时线上前缀
 	// 属于别的命名空间，认领身份仍按目录名。
-	if (import.meta.env.DEV && ctx.module.name !== MODULE_PREFIX.slice(1)) {
-		console.warn(`[ojm-api] 模块 "${ctx.module.name}" 正在认领 ${MODULE_PREFIX} 的 client——跨模块认领会共享 request 单槽、卸载互相耦合；应由 "${MODULE_PREFIX.slice(1)}" 模块在自身 onInit 创建，跨模块需求经 provider 暴露。`);
+	if (import.meta.env.DEV && ctx.module.name !== MODULE_OWNER.slice(1)) {
+		console.warn(`[ojm-api] 模块 "${ctx.module.name}" 正在认领 ${MODULE_PREFIX} 的 client——跨模块认领会共享 request 单槽、卸载互相耦合；应由 "${MODULE_OWNER.slice(1)}" 模块在自身 onInit 创建，跨模块需求经 provider 暴露。`);
 	}
 	ctx.register.apiPrefix(API_PREFIX);
 	bindRequest(ctx.utils.request);

package/templates/src/app/web/notification/pages/center/index.tsx

@@ -11,7 +11,7 @@ import {
 	notificationNotificationsGet,
 	notificationNotificationsReadAllPost,
 	notificationNotificationsReadPost,
-} from "../../__client/api";
+} from "../../__client";
 
 type Item = Awaited<ReturnType<typeof notificationNotificationsGet>>[number];
 type CatFilter = "all" | NoticeCategory;

package/templates/src/app/web/notification/routes.ts

@@ -4,7 +4,7 @@ import { BellOutlined } from "@ant-design/icons";
 
 import { createElement, lazy } from "react";
 
-import { createNotificationClient } from "./__client/api";
+import { createNotificationClient } from "./__client";
 
 const NotificationCenter = lazy(() => import("./pages/center"));
 

package/templates/src/app/web/personal-center/pages/my-profile/index.tsx

@@ -7,7 +7,7 @@ import {
 import { BasicContent, FormAvatarItem, useUserStore } from "@oj-module/runtime";
 import { App, Form, Input } from "antd";
 
-import { personalCenterProfilePost } from "../../__client/api";
+import { personalCenterProfilePost } from "../../__client";
 
 export default function Profile() {
 	const currentUser = useUserStore();

package/templates/src/app/web/personal-center/routes.ts

@@ -3,7 +3,7 @@ import { ProfileCardIcon, RiAccountCircleLine, useAuthStore } from "@oj-module/r
 
 import { createElement, lazy } from "react";
 
-import { createPersonalCenterClient } from "./__client/api";
+import { createPersonalCenterClient } from "./__client";
 
 const MyProfile = lazy(() => import("./pages/my-profile"));
 

package/templates/src/app/web/system/__client/api.schemas.ts

@@ -130,6 +130,7 @@ export const schemas = {
 	"action": z.string().optional(),
 	"username": z.string().optional(),
 	"module": z.string().optional(),
+	"page": z.number().min(1).optional(),
 	"limit": z.number().min(1).max(200).optional()
 }),
 		data: z.object({
@@ -174,6 +175,7 @@ export const schemas = {
 	"name": z.string(),
 	"module": z.string(),
 	"title": z.string().nullable(),
+	"title_key": z.string().nullable(),
 	"description": z.string().nullable(),
 	"builtin": z.boolean(),
 	"deprecated": z.boolean(),

package/templates/src/app/web/system/locales/en-US.json

@@ -99,10 +99,9 @@
 	},
 	"oplog": {
 		"filterAction": "Action",
-		"filterUsername": "Username (prefix)",
+		"filterUsername": "Username (contains)",
 		"filterModule": "Module",
-		"filterLimit": "Limit",
-		"truncated": "Results truncated by limit; narrow your filters",
+		"total": "{{total}} total",
 		"columns": {
 			"time": "Time",
 			"username": "Username",

package/templates/src/app/web/system/locales/zh-CN.json

@@ -99,10 +99,9 @@
 	},
 	"oplog": {
 		"filterAction": "操作 (action)",
-		"filterUsername": "用户名（前缀匹配）",
+		"filterUsername": "用户名（包含匹配）",
 		"filterModule": "模块",
-		"filterLimit": "条数上限",
-		"truncated": "结果已按上限截断，请缩小过滤范围",
+		"total": "共 {{total}} 条",
 		"columns": {
 			"time": "时间",
 			"username": "用户名",

package/templates/src/app/web/system/pages/departments/index.tsx

@@ -1,4 +1,4 @@
-import type { SystemDepartmentsGetData, SystemDepartmentsMembersGetData } from "../../__client/api";
+import type { SystemDepartmentsGetData, SystemDepartmentsMembersGetData } from "../../__client";
 
 import { PlusOutlined } from "@ant-design/icons";
 import { useMutation, useQuery, useQueryClient } from "@tanstack/react-query";
@@ -32,7 +32,7 @@ import {
 	systemDepartmentsPost,
 	systemDepartmentsPut,
 	systemUsersGet,
-} from "../../__client/api";
+} from "../../__client";
 import { explainError, isForbidden } from "../errors";
 import { ForbiddenPanel } from "../forbidden";
 import { WecomSyncBar } from "./sync-bar";

package/templates/src/app/web/system/pages/login-methods/index.tsx

@@ -2,7 +2,7 @@ import { useQuery } from "@tanstack/react-query";
 import { Card, Descriptions, Tag } from "antd";
 import { useTranslation } from "react-i18next";
 
-import { systemLoginMethodsGet } from "../../__client/api";
+import { systemLoginMethodsGet } from "../../__client";
 
 const METHOD_KEY: Record<string, string> = {
 	local: "system:loginMethodsPage.methodLocal",