create-bubbles 0.1.26 → 0.1.27

package/template-vp-monorepo-react-nestjs/.spaces/01./344/274/201/344/270/232/347/272/247/351/241/271/347/233/256/347/272/247//347/273/204/347/273/207/346/236/266/346/236/204//351/234/200/346/261/202/346/226/207/346/241/243.md

@@ -0,0 +1,421 @@
+# 企业／项目组织架构、岗位与成员选择器需求文档
+
+## 1. 文档状态与依据
+
+- 状态：组织架构主体方案已确认；平台下企业彼此独立。企业成员新增只确认“直接注册”和“邀请”两个产品入口，邀请协议细节尚待产品确认，不能按现有实现宣告完成或通过验收。
+- 日期：2026-09-18。
+- 当前阶段：数据库 `0003` 尚未应用；当前 Schema、Shared、Server、Web、测试及 `0003_cute_killmonger.sql` 仍残留企业间父子层级实现，清理并重新验证后方可迁移。现有邀请代码、页面、自动化测试及 `0004_company-member-invitations.sql` 属于未获产品确认的实现偏差，不进入本专项现行契约或验收结论。
+- 业务真相源：本文；[设计方案](./设计方案.md)与[技术契约](./技术契约.md)必须以本文的当前结论为准。
+- 现有系统背景：[企业、项目与菜单权限管理实施计划](../权限与菜单/需求文档.md)。
+- 本需求文档负责收敛业务目标、范围、规则和可测试验收标准；设计取舍和实现契约分别由同目录设计方案与技术契约承接，不在本文固化未确认的接口或数据库细节。
+- 确认记录：用户于 2026-09-16 确认初版方案并授权实施；2026-09-17 明确平台下企业彼此独立，该决定覆盖初版中的企业间父子设计。
+
+## 2. 背景与现有系统基线
+
+现有系统已经具备平台、企业、项目三级工作空间及 AccessScope，拥有全局账号、企业成员、项目成员、企业／项目角色、菜单权限、作用域鉴权和审计能力。组织能力应建立在这些模型之上，不新增第四种访问作用域，也不替换现有成员与 RBAC 角色。
+
+只读盘点确认了以下实现基线：
+
+| 领域       | 当前实现                                                                       | 本期衔接点                                           |
+| ---------- | ------------------------------------------------------------------------------ | ---------------------------------------------------- |
+| 全局账号   | users.id 是全局用户标识；account 全局唯一；name 不唯一                         | 所有人员选择与关系最终使用 userId，不以姓名识别人员  |
+| 作用域     | shared 已定义 platform、company、project 三种 AccessScope                      | 组织能力只使用 company 与 project 作用域             |
+| 成员       | 已有 company_members 与 project_members，项目成员受所属企业成员资格约束        | 组织归属和岗位任职必须绑定既有成员关系               |
+| 权限       | 已有 roles、user_roles、权限目录、路由鉴权和审计                               | 组织、岗位本身不授予权限；管理动作继续通过 RBAC 授权 |
+| 企业与项目 | 平台下企业彼此独立；项目保存直接所属 companyId；企业、项目已有启停和管理员规则 | 只扩展企业／项目各自的组织能力，不改变企业模型       |
+| Web 页面   | 企业、项目分别有独立工作空间路由和成员／角色页面                               | 新增企业与项目各自的“人员与组织”管理入口             |
+| 选择器     | 已有 BasicTableSelector 与返回全局 userId 的 GlobalAccountSelect               | 复用全局账号选择器，新增组织成员选择器               |
+| 组织数据   | 当前没有组织树、岗位、模板或相关接口                                           | 均为本期新增领域能力                                 |
+
+当前平台管理员选择已统一以 `userId` 为稳定值；企业普通成员新增只确认“直接注册新账号并加入企业”和“邀请”两个产品入口，项目普通成员新增从所属企业有效成员中按 `userId` 选择。旧的完整账号直接拉入成员契约不再作为当前产品规则。邀请对象、账号绑定方式、载体、有效期、状态、接受／拒绝、撤销／重发、发送渠道及安全与审计规则均待确认，现有邀请实现不得反向定义产品需求。
+
+## 3. 背景问题与产品目标
+
+### 3.1 要解决的问题
+
+1. 企业内部组织与项目执行组织容易混成一棵没有权限边界的通用树，多个独立企业之间也必须保持严格隔离。
+2. 企业希望维护通用的项目组织标准，但不同项目又需要在创建后独立调整。
+3. 同一个成员可能同时属于多个组织单元、担任多个岗位，现有成员和角色模型无法表达这些业务关系。
+4. 岗位、组织归属和权限角色容易被误认为同一概念，导致组织调整时意外改变系统权限。
+5. 人员选择既需要企业／项目范围、组织、岗位和角色辅助定位，也必须保持全局账号唯一和作用域隔离。
+6. 后续项目流程需要引用企业组织目标，但当前阶段不应为了未来工作流提前交付一个不完整的审批引擎。
+
+### 3.2 本期目标
+
+1. 在不改变独立企业模型的前提下，建立彼此隔离的企业组织树和项目组织树。
+2. 提供组织单元创建、维护、移动、整数排序、停用／恢复和成员分配能力。
+3. 提供与组织单元完全独立的企业岗位库和项目岗位库，支持一人多岗、一岗多人。
+4. 支持企业成员、项目成员分别加入多个本作用域组织单元，且不存在主归属或默认组织。
+5. 提供企业维护的项目组织模板，使项目可从标准结构初始化后独立演进。
+6. 提供可复用的组织成员选择能力，并继续区分全局账号选择、具体成员选择和未来工作流目标选择。
+7. 沿用现有 AccessScope、成员资格、RBAC、审计及 401／403／404 安全边界。
+8. 为后续企业目标发布、工作流目标解析和任务级授权保留稳定引用边界，但不在本期实现完整工作流。
+
+### 3.3 成功结果
+
+- 管理员能够在对应工作空间维护组织、岗位、成员关系和模板，而不会意外改变成员权限。
+- 同一账号在企业及不同项目中的组织、岗位关系分别维护，跨作用域关系无法写入。
+- 项目可以按明确选择的模板版本初始化，也可以空白创建；之后不会被模板后台静默改写。
+- 选择器能在服务端授权范围内查找具体人员，同名人员和同名组织均可可靠区分。
+- 本期交付不产生“项目小组”、主归属、岗位挂组织、工作流半成品等额外概念。
+
+## 4. 本期范围与明确不做
+
+### 4.1 本期范围
+
+| 能力组     | 本期交付                                                                         |
+| ---------- | -------------------------------------------------------------------------------- |
+| 企业边界   | 平台下企业彼此独立，沿用现有企业字段与项目直接归属，不新增企业间父子关系         |
+| 企业组织   | 每个企业自己的组织树、组织单元维护、移动、状态、整数 sort、完整路径              |
+| 项目组织   | 每个项目自己的组织树，与企业组织树和其他项目组织树隔离                           |
+| 成员关系   | 企业成员多企业组织单元、项目成员多项目组织单元、组织负责人、未归属视图           |
+| 岗位       | 企业／项目平面岗位库、岗位状态、成员多岗位任职                                   |
+| 组织模板   | 企业维护项目组织模板，分别复制组织结构和项目岗位定义                             |
+| 管理页面   | 企业／项目工作空间中的组织架构、岗位、成员管理页面                               |
+| 选择器     | 复用 GlobalAccountSelect；新增 OrganizationMemberSelector 及受权限保护的候选查询 |
+| 权限与审计 | 组织、岗位、模板、成员分配动作的权限拆分、作用域校验、事务和审计                 |
+| 后续边界   | 稳定组织单元、岗位、成员的 ID、作用域、状态与完整路径查询语义                    |
+
+### 4.2 明确不做
+
+- 不新增项目小组、协作组或类似实体；稳定结构使用项目组织单元，临时协作由具体业务选择成员。
+- 不建立企业间父子关系，不新增企业间父级、类型、排序、同父名称规范键、层级查询或移动能力。
+- 不设置主归属、默认组织、首选组织或兼任归属；不得根据数组第一项、提交顺序、展示顺序推导特殊组织关系。
+- 岗位不关联组织单元；岗位、模板岗位和任职关系均不保存组织单元字段。
+- 组织单元、岗位不会自动创建、分配或撤销 RBAC 角色。
+- 不实现完整工作流引擎、表单设计器、条件表达式、会签、转交、流程实例和附件授权。
+- 本期不实现 WorkflowTargetSelector、企业目标发布管理、运行时接收人解析或任务级资源授权；这些进入单独的工作流阶段。
+- 不支持跨企业、跨项目移动组织单元。
+- 首期不要求拖拽组织树；移动通过显式选择目标父级和 sort 完成。
+- 不把企业组织树实时映射为项目组织树，不做模板对已有项目的后台自动同步。
+- 不改变现有上传数据的 ownerId 授权模型。
+- 首期不提供组织单元、岗位和模板的物理删除，只提供停用与恢复；成员组织关系和岗位任职仍可按既有解除语义移除，并写入审计。
+
+## 5. 核心概念与已确认产品原则
+
+| 概念           | 产品含义                                                 | 权限含义                       |
+| -------------- | -------------------------------------------------------- | ------------------------------ |
+| 企业           | 平台下彼此独立的业务与数据边界，拥有独立 companyId       | 继续使用 company 作用域        |
+| 企业组织单元   | 企业内部可嵌套的通用组织节点，如事业部、中心、部门、班组 | 不是新作用域，不直接授予权限   |
+| 项目组织单元   | 项目内部可嵌套的执行组织节点                             | 不是新作用域，不直接授予权限   |
+| 企业／项目成员 | 全局账号与对应企业／项目的既有成员关系                   | 是组织归属和岗位任职的资格前提 |
+| 企业／项目岗位 | 对应作用域中的平面业务任职，如董事、项目经理、资料员     | 不进入组织树，不直接授予权限   |
+| 权限角色       | 现有 RBAC 权限集合                                       | 决定页面、按钮和接口权限       |
+| 组织模板       | 企业维护的项目组织结构和项目岗位定义快照来源             | 不复制成员、负责人、任职或角色 |
+
+以下原则已经由用户明确，不再作为可选设计：
+
+1. 平台下的企业彼此独立，不存在企业间父子关系，也不发生跨企业组织或权限继承。
+2. 企业组织树与项目组织树分开，界面可以聚合展示，数据库不建立跨树父子关系。
+3. 企业成员可加入多个企业组织单元，项目成员可加入当前项目的多个项目组织单元。
+4. 所有组织成员关系地位相同；没有主归属、默认组织或根据顺序推导的特殊关系。
+5. 不建设项目小组。
+6. 企业岗位和项目岗位保留，但岗位不关联组织单元。
+7. 一名成员可以在同一作用域担任多个岗位，一个岗位可以有多名成员。
+8. 组织单元 sort 只保存和编辑一个非负整数，不拆分输入、不使用小数。
+9. 每个组织单元最多一名主要负责人；同一个人可以负责多个组织单元。
+10. 平台账号以全局 userId 唯一识别，姓名不唯一。
+11. 组织归属、岗位和权限角色相互独立。
+
+## 6. 核心角色与用户故事
+
+| 编号  | 角色             | 用户故事与可观察结果                                                                                                         |
+| ----- | ---------------- | ---------------------------------------------------------------------------------------------------------------------------- |
+| US-01 | 企业组织维护者   | 我可以在当前企业工作空间维护企业组织树，不会修改项目组织树或其他企业的数据。                                                 |
+| US-02 | 项目组织维护者   | 我可以在当前项目工作空间维护项目组织树，不能把节点移动到企业组织树或其他项目。                                               |
+| US-03 | 成员维护者       | 我可以把一个有效成员分配到多个本作用域组织单元，并为每条关系维护职责；系统不会创建主归属。                                   |
+| US-04 | 组织负责人维护者 | 我可以为组织单元设置主要负责人；第二名主要负责人会被事务性拒绝，同一人可以负责多个组织单元。                                 |
+| US-05 | 岗位维护者       | 我可以独立维护企业／项目岗位并为成员批量分配多个岗位；组织变化不会自动改变岗位。                                             |
+| US-06 | 企业模板维护者   | 我可以维护项目组织模板，模板内的组织结构与项目岗位定义互相独立。                                                             |
+| US-07 | 项目创建者       | 我可以空白创建项目或明确选择企业模板版本初始化；创建后项目组织由项目独立维护。                                               |
+| US-08 | 业务选人者       | 我可以按可见企业／项目、组织、岗位、权限角色和搜索条件找到具体成员；选择结果以 userId 为核心。                               |
+| US-09 | 普通成员         | 我可以在有权查看的页面中看到自己的全部组织和岗位标签，不会被标记为某个“主组织”。                                             |
+| US-10 | 审计查看者       | 我可以在既有审计边界内查看组织、岗位、模板和成员关系变更，不会在日志中看到密码或 token。                                     |
+| US-11 | 后续流程设计者   | 后续工作流可以引用稳定的组织单元、岗位和成员目标，但必须另行实现企业发布、解析和任务级授权，不能把组织成员资格当作流程授权。 |
+
+## 7. 功能需求
+
+本节展开已确认原则。后续契约必须完整覆盖这些要求；若产品方案发生变化，应先同步调整本 PRD、验收标准和契约，不能由实现阶段自行偏离。
+
+### FR-01 独立企业边界
+
+1. 平台下的企业彼此独立，继续使用现有 company 作用域和 companyId，不新增其他企业作用域或企业间父子关系。
+2. 本期不为 companies 新增企业间父级、类型、排序或同父名称规范键，也不新增层级查询、企业移动或相关权限。
+3. 每个企业独立拥有成员、管理员、角色、组织、数据、审计和项目；任一企业的成员、角色、权限和组织关系不能继承或传播到其他企业。
+4. 项目始终只归属一个企业并保存直接 companyId，其他企业不会因此获得隐式项目访问权。
+5. 需要独立成员、权限、数据和项目边界的单位，应建立为平台下的独立企业；同一企业内部的事业群、分公司等汇报层级使用组织单元表达。
+
+### FR-02 企业与项目组织树
+
+1. 每个企业拥有自己的企业组织树，每个项目拥有自己的项目组织树。
+2. 企业或项目本身作为界面虚拟根，真实顶级组织单元没有持久化的根节点记录。
+3. 企业组织单元的父级只能是同一企业组织树的组织单元；项目组织单元的父级只能是同一项目组织树的组织单元。
+4. 组织单元至少包含稳定 ID、所属树、父级、名称、编码、说明、sort、状态和版本；树按父节点懒加载，每次返回一个层级及 `hasChildren`，节点仍返回当前完整路径。
+5. 组织单元编码在单棵树内唯一，名称在同一父级下唯一；编码和名称均按 `lower(NFKC(trim(value)))` 规范值比较，内部空白不自动折叠。编码接受大小写字母输入，但保存和返回时统一转为小写；名称只去除首尾空白并保留展示大小写。
+6. 允许不同分支出现同名组织单元；所有选择和展示必须带所属企业／项目及完整路径，不能只显示末级名称。
+7. 每棵组织树最多 10 层：第一个真实顶级组织单元计为第 1 层，企业／项目虚拟根不计层；创建、移动和模板复制均校验目标节点及其完整子树不得超过第 10 层。
+8. 组织单元支持创建、编辑、移动、停用和恢复。移动保持 ID 不变，禁止移动到自身或后代。
+9. 停用组织单元保留节点、成员关系和历史引用；其自身及后代的有效性规则按第 9 节执行。
+10. 企业组织树、各项目组织树可以在浏览器或选择器中聚合展示，但聚合位置不改变真实父子关系。
+
+### FR-03 组织单元排序
+
+1. 企业与项目组织单元只保存一个整数 sort，允许范围为 0～999999999。
+2. 前端只显示一个整数输入框，编辑时原值回显并原样提交；拒绝负数、小数和超范围值。
+3. 排序仅在同一棵树、同一父级下比较，统一按 sort 升序、ID 升序返回。
+4. 相同 sort 合法，由 ID 保证稳定顺序；修改单个节点不自动重排其他节点。
+5. 首个同级节点默认 sort 为 1，其余默认为同级最大 sort 加一；达到上限时停止自动递增并要求人工调整。
+6. 移动时允许明确填写新 sort；未填写时排到目标父级最后，并使用下一个可用整数。
+
+### FR-04 组织成员关系
+
+1. 企业组织关系绑定有效 company_member；项目组织关系绑定有效 project_member。
+2. 一个成员可以在本作用域拥有多条不同组织单元关系，但同一成员与同一组织单元的关系只能有一条。
+3. 全部组织关系地位相同；请求和响应不得包含主归属、默认组织字段，后端不得把数组第一项解释为特殊关系。
+4. 成员可以暂时不属于任何组织单元；“未归属组织”只作为查询和界面的虚拟分组，不创建数据库节点。
+5. 每条关系保存一个 duty，首期固定为 member、leader 或 deputy；同一成员在同一组织单元只有一条关系，因此不能同时占用多个 duty。
+6. 每个组织单元最多一名主要负责人；唯一限制建立在组织单元上，不能限制同一个人负责多个组织单元。
+7. 同一组织单元可以有多名 deputy；leader 和 deputy 都必须是当前组织单元成员，设置职责不会自动授予管理员角色。
+8. 组织关系同时支持“按成员替换其全部组织单元”和“按组织单元替换其全部成员”。按组织单元保存只影响该单元，保留每名成员在其他单元的关系；两种方向均在同一事务内完成，任一跨作用域、重复关系或负责人冲突都使整次提交失败，空数组分别表示解除该成员全部组织关系或清空该单元全部成员。
+9. 组织关系变化不会自动创建、删除或修改成员的 RBAC 角色和岗位任职。
+10. 首期不保存、不接收、不返回 memberSort，也不在界面开放成员手工排序；成员列表默认按 duty 优先级 leader、deputy、member，再按成员关系 ID 升序稳定返回。
+
+### FR-05 独立岗位
+
+1. 企业岗位只属于一个企业，项目岗位只属于一个项目；岗位不属于组织树。
+2. 岗位是平面列表，不设置父级，也不保存组织单元 ID、树 ID或模板组织节点 ID。
+3. 岗位至少包含稳定 ID、作用域、名称、编码、说明、状态和版本。
+4. 企业岗位任职绑定企业成员，项目岗位任职绑定项目成员；一个成员可以多岗，一个岗位可以多人。
+5. 同一成员不能重复担任同一岗位，跨企业、跨项目任职必须被拒绝。
+6. 组织归属和岗位任职分别维护、分别提交、分别审计；任意一方的新增、移动、停用或移除不自动修改另一方。
+7. 岗位不会自动映射现有权限角色，也不能仅凭岗位推导某个组织单元中的任职。
+8. 岗位编码和岗位名称都在各自企业或项目作用域内唯一；唯一性按 lower(NFKC(trim(value))) 的规范值比较，内部空白保留且不自动合并。岗位名称只去除首尾空白并保留展示大小写；岗位编码接受大小写字母输入，但保存和返回时统一转为小写。
+9. 岗位任职同时支持“按成员替换其全部岗位”和“按岗位替换其全部成员”。按岗位保存只影响该岗位，保留每名成员的其他岗位；两种方向均原子提交，空数组分别表示解除该成员全部任职或清空该岗位全部任职。
+
+### FR-06 项目组织模板
+
+1. 模板属于一个企业，用于初始化该企业直接所属项目的项目组织，而不是实时引用企业组织树。
+2. 模板分别维护组织单元结构和项目岗位定义；模板岗位不关联模板组织单元。
+3. 项目初始化请求固定使用 blank 或 template 两种模式。blank 模式不得提交模板 ID／版本；template 模式必须同时提交模板 ID 和精确版本，模板必须属于项目直接企业且处于有效状态。
+4. 复制组织单元名称、编码、层级和 sort；模板组织单元不单独维护状态，模板中存在的节点初始化为 active。复制岗位名称、编码、说明和状态；模板岗位是平面定义，允许 disabled 岗位复制为项目中的 disabled 岗位，项目后续可独立启用。新项目中的组织单元与岗位分别生成新 ID。
+5. 模板不复制真实成员、负责人、组织成员关系、岗位任职或权限角色。
+6. 项目创建后独立维护；模板后续修改或停用不自动改写已有项目。
+7. 来源模板节点和来源模板岗位分别记录各自来源，不建立岗位与组织单元的映射。
+8. 企业最多有一个有效默认模板；前端可在新建项目时预选它，但后端只按请求中的显式模式处理，不根据默认模板静默推断。
+9. 存量迁移只为缺少组织树的既有企业和项目补建空树记录，不创建组织单元、岗位或成员关系；迁移按作用域唯一键保证幂等，并能按迁移批次回滚仅由本次迁移新增且仍为空的树。
+10. 模板替换必须显式提交完整定义和 isDefault；设置新的默认模板时，旧默认模板也生成保留完整子项的下一版本、递增版本并写审计，避免旁路修改绕过乐观锁。
+
+### FR-07 组织成员选择器
+
+1. GlobalAccountSelect 只服务于有权搜索平台账号的场景，例如平台开通企业或由平台设置企业管理员；稳定值为 userId，不向普通企业或项目操作者开放平台账号浏览。
+2. 企业侧新增企业成员只确认两条产品入口：直接注册新账号并加入企业，或发起邀请；不提供全平台列表或按完整账号直接拉入既有账号。“邀请”在本阶段仅表示入口名称，邀请对象、是否绑定账号、载体、有效期、状态、接受／拒绝、撤销／重发、发送渠道、DTO、端点、Token、安全、事务、审计和验收标准均待产品确认。现有代码、页面、自动化测试及 `0004_company-member-invitations.sql` 只能证明实现曾被制作，不能作为现行需求或验收依据。
+3. 项目新增成员使用 OrganizationMemberSelector 的 `addProjectMember` 场景，只查询所属企业的有效成员并排除已经属于当前项目的人；选择值和提交值均为 `userId`，后端写入时再次校验企业成员资格、状态和重复关系。
+4. 通用 OrganizationMemberSelector 只从调用者当前可见的既有企业成员或项目成员中选择一个或多个具体成员，不能借此发现或创建尚未加入作用域的账号。
+5. 组件在表单中表现为 Select 风格字段，点击后打开弹窗式组织浏览器；不把企业、项目、多层组织树、岗位、角色和搜索结果塞入普通下拉菜单。
+6. 选择器由业务注入当前调用场景和候选查询，不自行决定接口地址、权限范围或保存行为；组织成员维护、岗位成员分配和添加项目成员使用不同 purpose，岗位维护者只需岗位查看与分配权限，不隐式依赖组织查看权限。
+7. 左侧可按可见作用域、组织架构、岗位或权限角色筛选，右侧选择具体人员；点击组织单元只筛选人员，不把组织单元本身作为成员选择值。
+8. 企业工作空间只有具备 `company.projects.read` 时才可读取本企业项目身份，并继续按调用者的实际项目可见性逐项目裁剪；项目组织、岗位、角色标签及筛选分别要求目标项目的 `project.organization.read`、`project.positions.read`、`project.roles.read`，不能仅凭企业项目查看权限返回。项目工作空间只查看当前项目，不展示企业目标或同企业其他项目组织。
+9. 搜索由服务端执行，支持姓名或完整账号；结果按全局 userId 去重，同一人只显示一行并聚合可见身份、组织、岗位、必要角色和状态。
+10. 姓名不作为唯一标识；人员行至少显示姓名、完整账号、来源企业／项目和状态。
+11. 同名组织单元必须显示“企业／项目 + 完整路径”；组织标签和岗位标签分开展示，交叉筛选不会生成持久关系。
+12. 停用账号、停用成员或停用作用域显示状态和禁选原因，不静默变成可选。
+13. 选择器稳定值统一为 userId；企业／项目作用域由调用候选与保存动作的 URL 决定，候选中的项目身份只用于权限裁剪后的展示、筛选和辨识，不作为持久化选择值。需要修改特定项目关系时必须在该项目 URL 下提交，不能由客户端在请求体中自报 scope。
+14. 除项目添加成员这一明确业务动作外，通用选择操作本身不创建成员、组织关系、岗位任职或角色授权。
+15. WorkflowTargetSelector 与组织目标联合类型留到工作流专项，不并入本期具体成员选择器。
+
+### FR-08 管理页面
+
+1. 企业和项目分别从自己的工作空间进入“人员与组织”，页面内部不维护第二套企业／项目作用域状态。
+2. 页面以“组织架构、岗位、成员”作为并列入口；岗位不挂在组织树节点下。
+3. 组织架构页提供树、全部成员、未归属组织、组织详情、负责人、成员表和创建／编辑／移动／停用／恢复操作。
+4. 岗位页使用平面列表，展示名称、编码、状态和任职人数；岗位表单不提供组织单元字段。
+5. 成员页展示成员在当前作用域的全部组织和岗位标签，不突出第一个组织，也不拼接未保存的“组织－岗位”关系。
+6. 成员分配中，组织归属和岗位任职分区编辑；修改一组不会自动修改另一组。
+7. 组织单元表单只提供一个 sort 整数输入框；首期移动使用显式弹窗，不要求拖拽。
+
+### FR-09 权限、事务与审计
+
+1. 查看组织、维护结构、移动组织、分配成员、维护岗位、分配岗位和维护模板应按能力拆分，不能只靠页面是否显示进行授权。
+2. 后端继续按登录态、账号状态、作用域与成员资格、功能权限、资源归属的顺序校验；URL 参数不是授权依据。
+3. 企业、项目、组织单元、成员、岗位和模板的所有写操作必须同时校验资源所属作用域。
+4. 跨企业或跨项目资源与不存在资源继续统一返回 404；作用域内已识别的权限不足返回 403。
+5. 按成员或按组织单元／岗位的批量关系替换、负责人变更、模板复制和相关成功审计在同一事务内提交。
+6. 组织单元、岗位和模板使用版本校验避免过期编辑覆盖；具体冲突响应由共享契约统一。
+7. 组织、岗位、模板及成员关系的创建、编辑、移动、排序、状态、分配和移除写入现有作用域审计。
+8. 审计记录操作者、作用域、对象、关键变更前后值和 requestId，不记录密码、token 或不必要的完整业务数据。
+
+## 8. 权限边界
+
+### 8.1 角色边界
+
+- 平台管理员继续通过现有平台入口维护彼此独立的企业；平台身份不自动成为任何企业成员，也不通过本期组织能力获得跨企业数据权限。
+- 企业管理员或具备对应企业权限的角色只能管理当前企业的组织、岗位、模板和成员关系；管理其他企业必须进入目标企业并具备该企业的显式权限。
+- 项目管理员或具备对应项目权限的角色只能管理当前项目组织、岗位和成员关系，不能修改企业组织树。
+- 普通成员只获得角色明确授予的查看或操作能力；加入组织、担任岗位、成为负责人均不自动授予管理员权限。
+
+### 8.2 能力拆分草案
+
+现有权限目录的最终 key 在契约阶段统一。本期至少保持以下能力互相独立：
+
+| 作用域   | 能力                                                                   |
+| -------- | ---------------------------------------------------------------------- |
+| 平台     | 沿用现有独立企业创建、编辑和管理员设置；本期不新增企业间父子关系权限   |
+| 企业     | 查看组织、创建组织单元、更新／停用组织单元、移动组织单元、分配组织成员 |
+| 企业     | 查看岗位、创建岗位、更新／停用岗位、分配岗位成员                       |
+| 企业     | 查看与维护项目组织模板                                                 |
+| 项目     | 查看组织、创建组织单元、更新／停用组织单元、移动组织单元、分配组织成员 |
+| 项目     | 查看岗位、创建岗位、更新／停用岗位、分配岗位成员                       |
+| 候选查询 | 按调用场景读取最小成员、组织、岗位或角色摘要                           |
+
+设计真相源已给出 company.organization、company.position、project.organization、project.position 等权限建议。组织模板的准确权限 key、内置管理员自动授权及菜单节点由契约阶段结合现有 ACCESS_PERMISSION_CATALOG 定稿，不能由前后端分别命名。
+
+## 9. 生命周期规则
+
+| 对象／操作           | 必须保留                                   | 本期行为                                                                                             |
+| -------------------- | ------------------------------------------ | ---------------------------------------------------------------------------------------------------- |
+| 移动组织单元         | 组织单元 ID、成员关系、岗位独立性          | 仅同一棵树内移动；当前 fullPath 随结构更新                                                           |
+| 停用组织单元         | 节点、下级节点、成员关系、历史审计         | 自身及受无效祖先影响的下级不参与新候选；不自动删除关系                                               |
+| 恢复组织单元         | 原节点和关系                               | 重新参与后续有效查询，不改写历史审计                                                                 |
+| 停用岗位             | 岗位、任职关系、历史审计                   | 不参与新的有效候选；保留任职关系                                                                     |
+| 恢复岗位             | 原岗位和任职                               | 重新参与后续有效查询                                                                                 |
+| 停用成员             | 组织关系、岗位任职、角色按现有成员规则保留 | 不再作为有效候选；恢复后按当前保存关系参与查询                                                       |
+| 解除组织／岗位关系   | 历史审计                                   | 删除对应关系记录，不删除成员、组织单元或岗位；批量解除继续遵守事务和作用域校验                       |
+| 移除项目成员         | 历史审计                                   | 同一事务清理该项目成员的项目组织关系、岗位任职、负责人关系和项目角色                                 |
+| 移除企业成员         | 历史审计及其他企业中的独立关系             | 同一事务清理本企业组织、岗位、负责人和角色，并按现有规则清理本企业直接所属项目中的项目成员及关联关系 |
+| 修改／停用／恢复模板 | 已创建项目自己的组织与岗位                 | 停用后不能用于新项目初始化，恢复后按当前有效版本重新可选；任何变更都不自动同步或删除项目数据         |
+| 创建项目             | 既有项目创建事务边界                       | 按明确的空白／模板选择初始化组织与岗位；任一步失败整体回滚                                           |
+
+组织单元、岗位和模板首期均无物理删除入口或删除接口；对这些稳定资源的“删除”请求统一引导为停用。只有成员组织关系和岗位任职等可重建关系按既有解除语义删除关系记录。
+
+组织单元停用时，任一祖先无效都会使当前节点不作为有效候选。管理者仍可查看、编辑和恢复停用节点及其后代，但不能在停用父节点下新建节点，也不能把有效节点移动到停用父节点下。
+
+全量替换关系时，既有停用成员、停用组织单元或停用岗位的关系可以原样保留或解除。按成员提交空数组表示解除该成员在当前关系类型下的全部关系；按组织单元或岗位提交空数组表示清空当前资源的全部关系。停用成员不能新增组织关系或岗位任职，也不能把既有职责升级为 deputy／leader；其既有组织职责只允许原样保留、移除或按 leader → deputy → member 的方向降级。停用或受无效祖先影响的组织单元同样不能新增成员或升级职责，停用岗位不能新增任职。
+
+## 10. 分阶段交付
+
+| 阶段                  | 交付内容                                                                             | 阶段完成标准                                                                                |
+| --------------------- | ------------------------------------------------------------------------------------ | ------------------------------------------------------------------------------------------- |
+| 0. PRD 确认（已完成） | 确认本期边界、方案项和验收标准                                                       | 用户于 2026-09-17 明确企业彼此独立，保留企业／项目各自组织能力                              |
+| 1. 共享契约与数据库   | 组织树、组织单元、成员关系、岗位、任职、模板类型与迁移                               | 空库和现有库迁移可审阅；作用域、关系唯一、组织循环、整数 sort、主要负责人唯一等约束测试通过 |
+| 2. 后端组织能力       | 企业／项目组织、岗位、成员分配、模板、候选查询和审计                                 | 服务端独立阻止跨作用域、重复关系、过期版本、非法移动和越权                                  |
+| 3. 前端管理能力       | 企业／项目“人员与组织”页面、组织树、岗位列表、成员关系和模板管理                     | 不依赖直接调用接口即可完成本期管理流程，表单与错误状态可理解                                |
+| 4. 组织成员选择器     | OrganizationMemberSelector、服务端分页／搜索、回显和禁选原因                         | 可见范围、userId 去重、完整路径、跨页回显和状态处理正确                                     |
+| 5. 集成与验收         | 迁移、权限、事务、接口、Web 关键流程和回归测试                                       | 第 11 节逐项有通过证据，构建和项目检查通过                                                  |
+| 后续工作流专项        | 企业目标发布、WorkflowTargetSelector、规则解析、接收人快照、异常转交、任务级资源授权 | 单独 PRD 和契约确认后实施，不作为本期组织能力完成条件                                       |
+
+本期需要稳定组织单元、岗位和成员目标所需的 ID、作用域、状态及 fullPath 查询语义。企业目标发布关系和任务级授权表不在本期落地，避免在没有流程生命周期与授权模型时交付不可用半成品。
+
+## 11. 可测试验收标准
+
+以下标准把当前已确认方案直接表达为可测试行为，并作为契约设计与后续实现验收的强制输入。若任一方案调整，必须同步改写对应功能需求、验收标准和契约。
+
+1. **AC-01 全局人员标识**：准备两个同名账号后，所有组织和岗位分配均以不同 userId 正确区分；任何接口都不以姓名作为唯一键。
+2. **AC-02 作用域保持**：交付后 AccessScope 仍只有 platform、company、project；组织单元和岗位不会产生新的工作空间或访问作用域。
+3. **AC-03 独立企业模型**：companies 继续使用现有 companyId、name、code、status、version 等企业字段；数据库、共享类型、接口和页面均不存在新增的企业间父级、类型、排序、同父名称规范键或其他企业作用域。
+4. **AC-04 无企业间树能力**：平台企业仍按现有列表方式管理，不新增父子查询、父级选择、企业移动、层级摘要或相关权限；现有企业创建和编辑行为不要求层级资料。
+5. **AC-05 跨企业隔离**：企业 A 的成员、管理员、角色、组织、岗位、模板和项目数据不会因任何组织关系自动出现在企业 B；跨企业资源继续按不可见处理。
+6. **AC-06 项目直接归属**：项目只保存一个直接 companyId，项目组织、岗位、成员和模板校验均以该企业为边界，其他企业不会因此获得隐式归属或访问权。
+7. **AC-07 企业项目分树**：同一企业及其项目分别查询到独立组织树；组织树先查询顶级节点，再以 parentId 懒加载直接子节点并返回 hasChildren；企业节点不能成为项目节点父级，项目节点也不能成为企业节点父级。
+8. **AC-08 跨树写入拒绝**：跨企业、跨项目创建父子关系或移动组织单元时返回统一的资源不可见结果，原树保持不变。
+9. **AC-09 组织命名、深度与路径**：同树重复编码或同父级经 `lower(NFKC(trim(value)))` 规范化后同名被拒绝，编码输入统一以小写保存和返回；不同分支允许同名且返回所属企业／项目与完整路径；顶级真实节点计第 1 层，创建、移动或模板复制后超过 10 层时整次操作失败。
+10. **AC-10 整数排序**：sort 为 15 时接口与数据库保存 15；负数、小数和大于 999999999 的值被拒绝，同级始终按 sort 升序、ID 升序返回。
+11. **AC-11 默认排序**：首个同级组织单元默认 sort 为 1，后续默认使用当前同级最大值加一；达到上限时不产生溢出值。
+12. **AC-12 移动排序**：组织单元移动到同树其他父级时保持 ID；明确 sort 按提交值保存，未提交时排在目标同级最后；移动、重命名或状态变更后，已加载节点及全部受影响后代不会继续显示旧 fullPath、depth 或 effective。
+13. **AC-13 多组织关系**：同一企业成员可以加入多个企业组织单元，同一项目成员可以加入当前项目多个项目组织单元，企业与各项目的关系互不覆盖。
+14. **AC-14 无主归属**：组织分配请求、响应、数据库和界面均不存在主归属或默认组织；交换提交数组顺序不会改变任一关系语义。
+15. **AC-15 关系唯一与默认顺序**：按成员或按组织单元批量保存均原子完成，按单元保存不会覆盖成员在其他单元的关系；重复提交同一成员与同一组织单元的关系不会产生两条记录，跨作用域关系整批失败且不留下部分数据；请求、响应和数据库均无 memberSort，成员候选标签返回 membershipId 与 duty，单组织成员视图按 leader、deputy、member 后再按关系 ID 稳定返回。
+16. **AC-16 主要负责人唯一**：同一组织单元设置第二名主要负责人时整次写入失败；同一个人可以成功成为多个组织单元的主要负责人。
+17. **AC-17 负责人职责与资格**：duty 只接受 member、leader、deputy；非当前组织单元成员不能成为主要或副负责人，同一单元允许多个 deputy 但最多一个 leader，设置职责不会新增管理员角色或权限。
+18. **AC-18 未归属视图**：没有任何组织关系的有效成员出现在“未归属组织”虚拟分组中，数据库不存在对应虚拟组织单元记录。
+19. **AC-19 岗位完全独立**：岗位定义、模板岗位和岗位任职请求／响应不包含 organizationUnitId、treeId 或 templateUnitId；传入此类字段时明确拒绝。
+20. **AC-20 多岗位与唯一规则**：同一成员可同时担任多个岗位，一个岗位可包含多名成员；按成员或按岗位批量保存均原子完成，按岗位保存不覆盖成员的其他岗位；重复任职和跨作用域任职被拒绝；同作用域内岗位 code 和 name 经 NFKC、首尾去空格和不区分大小写比较后分别唯一，code 接受大小写输入但保存和返回为小写。
+21. **AC-21 组织岗位解耦**：移动、停用或移除一条组织关系不会自动修改岗位任职；修改岗位任职也不会改变组织归属或角色。
+22. **AC-22 模板初始化方式**：blank 模式携带模板 ID／版本或 template 模式缺少任一字段均失败；template 模式引用跨企业模板时按资源不可见返回 404，引用当前企业内已停用／不可用模板或版本不匹配模板时分别返回约定业务错误；模板输入的缺失父节点、自引用或环按请求校验失败，超过 10 层按深度错误失败；UI 预选默认模板不改变服务端显式模式语义。
+23. **AC-23 模板复制边界**：模板初始化只复制组织结构和独立岗位定义并生成新 ID；模板组织单元均以 active 初始化，模板岗位按定义状态复制；不复制成员、负责人、任职和 RBAC 角色。
+24. **AC-24 项目独立演进**：项目创建后修改或停用来源模板，不会自动新增、更新、移动或删除项目中的组织单元和岗位。
+25. **AC-25 初始化与存量迁移事务**：模板复制任一步失败时，项目、项目成员、管理员授权、组织树、岗位及成功审计全部回滚；存量迁移重复执行不产生重复树，回滚只删除本批次新增且仍为空的树，不猜测成员组织关系或岗位。
+26. **AC-26 页面作用域**：企业和项目分别从自己的工作空间进入人员与组织页面，页面内部不存在第二套企业／项目切换；快速切换工作空间时不会显示上一作用域的数据。
+27. **AC-27 组织成员候选范围**：OrganizationMemberSelector 只返回调用者可见的既有成员；企业场景读取项目身份先要求 `company.projects.read`，再按项目可见性及每个项目的组织／岗位／角色读取权限逐项裁剪标签和筛选能力，不能凭企业项目查看权限泄露项目标签；项目场景只返回当前项目成员，不返回同企业其他项目或尚未加入作用域的账号。
+28. **AC-28 弹窗搜索与去重**：Select 风格字段打开弹窗式组织浏览器；按姓名或完整账号搜索时由服务端分页返回，同一 userId 在多个可见身份命中时只显示一行并聚合标签。
+29. **AC-29 同名信息展示**：同名人员显示完整账号和来源作用域，同名组织显示完整路径；组织标签与岗位标签保持独立。
+30. **AC-30 禁选状态**：停用账号、停用成员或停用作用域的候选显示明确禁选原因，不能被用于新增或升级关系；既有停用关系仍可原样保留、解除或按约定降级职责；按成员保存空数组会解除该成员的全部对应关系，按组织单元或岗位保存空数组会清空当前资源的全部成员关系；未知或越权 ID 不能绕过前端直接写入。
+31. **AC-31 账号新增与全局选择边界**：只有平台授权场景使用 GlobalAccountSelect 并以 userId 为值；企业侧只展示直接注册和邀请两个产品入口，且无法枚举平台账号。当前只验收直接注册入口及其既有规则；邀请入口之后的对象、流程、状态和技术协议待确认，不计入本期通过条件。项目侧只可从所属企业有效成员中选择尚未加入者并提交 userId，后端二次校验。
+32. **AC-32 权限能力拆分**：仅有组织查看权限的用户不能创建、移动或分配成员；仅有岗位查看权限的用户不能修改岗位，具备岗位查看与分配权限的维护者可通过岗位 purpose 选择成员且不需要组织查看权限；前端隐藏与服务端拒绝一致。
+33. **AC-33 资源归属保护**：修改组织、岗位、模板和关系的 Repository 查询同时约束公司／项目归属；跨作用域 ID 与不存在 ID 均返回 404。
+34. **AC-34 生命周期与清理**：组织单元、岗位和模板没有物理删除接口，只能停用／恢复；解除组织关系或岗位任职仅删除对应关系并审计；移除项目成员或企业成员时按第 9 节事务清理本作用域关联，其他企业的独立关系不受影响。
+35. **AC-35 审计一致性**：每次成功的创建、编辑、移动、排序、状态和关系变更都有同事务审计；设置新默认模板时，被自动取消默认的旧模板也递增版本、复制完整组织单元／岗位子项到下一版本并写审计；失败或回滚操作没有成功审计，日志不包含密码或 token。
+36. **AC-36 排除范围验证**：数据库、共享类型、接口和页面中不存在企业间父子关系、项目小组、主归属、岗位－组织持久关联、企业目标发布或可执行的工作流引擎；企业目标发布与任务级授权整体后置，后续专项首个推荐方向为“项目 → 所属企业”，不计入本期完成范围。
+
+## 12. 接口草案
+
+本节只描述资源与业务动作，方便下一阶段划分模块；不确定最终 URL、HTTP 方法、DTO、返回包装、错误码或数据库表。所有请求和返回类型必须在 [技术契约](./技术契约.md) 中统一，不能直接把本节当成接口契约。
+
+| 资源范围         | 查询动作                                                   | 写动作                                           |
+| ---------------- | ---------------------------------------------------------- | ------------------------------------------------ |
+| 企业组织单元     | 查询树／子节点／路径／状态／成员摘要                       | 创建、编辑、移动、设置状态、设置 sort            |
+| 项目组织单元     | 查询当前项目树／子节点／路径／状态／成员摘要               | 创建、编辑、移动、设置状态、设置 sort            |
+| 企业成员组织关系 | 按成员或组织查询关系、查询未归属成员                       | 按成员或组织单元批量替换企业组织关系、调整职责   |
+| 项目成员组织关系 | 按成员或组织查询关系、查询未归属成员                       | 按成员或组织单元批量替换项目组织关系、调整职责   |
+| 企业岗位         | 分页查询岗位、详情、任职人员                               | 创建、编辑、设置状态、按岗位或成员批量替换任职   |
+| 项目岗位         | 分页查询岗位、详情、任职人员                               | 创建、编辑、设置状态、按岗位或成员批量替换任职   |
+| 项目组织模板     | 查询企业模板、模板版本、组织结构和岗位定义                 | 创建、编辑、设置状态、设置默认模板               |
+| 项目初始化       | 读取可选模板摘要                                           | 创建项目时按空白或指定模板版本初始化             |
+| 企业成员新增     | 展示直接注册与邀请两个入口；邀请详情待确认                 | 直接注册并加入企业；邀请相关写操作待产品确认     |
+| 项目成员候选     | 查询所属企业有效成员并排除当前项目既有成员                 | 按 `userId` 添加项目成员，服务端二次校验资格     |
+| 组织成员候选     | 在既有可见成员内按作用域、组织、岗位、角色和关键词分页查询 | 除添加项目成员场景外，选择器不负责创建成员或关系 |
+| 全局账号候选     | 仅平台授权场景按关键词查询账号、按 userId 回显             | 无；继续由 GlobalAccountSelect 使用              |
+| 审计             | 按现有作用域查询组织相关事件                               | 随业务事务写入，不提供绕过业务规则的独立写接口   |
+
+后续工作流专项预计新增“企业目标发布”“项目可用企业目标”“目标解析”“任务参与者”“任务级资源授权”等资源与动作。本期既不暴露这些写动作，也不把企业通讯录直接开放给项目。
+
+## 13. 风险与方案确认记录
+
+### 13.1 主要风险
+
+| 编号 | 风险                                                                     | 控制方式                                                                                         |
+| ---- | ------------------------------------------------------------------------ | ------------------------------------------------------------------------------------------------ |
+| R-01 | 企业组织树和项目组织树在聚合界面中被误认为一棵可跨树移动的真实树         | 所有节点携带作用域和树类型，后端分别校验真实父子关系                                             |
+| R-02 | 组织归属、岗位和权限角色在页面中同时展示，用户误以为会自动联动           | 分区维护、独立保存、标签分栏，并在关键操作说明“不改变权限”                                       |
+| R-03 | 批量关系替换和主要负责人唯一在并发下出现部分写入                         | 数据库唯一约束、固定事务边界、锁内复查和同事务审计                                               |
+| R-04 | 大企业组织树和成员候选一次加载导致性能和信息泄露                         | 树懒加载、服务端分页／搜索、最小字段返回、服务端裁剪可见范围                                     |
+| R-05 | 模板版本变化覆盖在建项目                                                 | 项目复制快照，提交明确版本，项目创建后完全独立                                                   |
+| R-06 | 旧成员接口按 account 添加，与当前直接注册／邀请入口／userId 选择边界冲突 | 保持旧入口退出；直接注册与项目成员 userId 选择按已确认规则复验，邀请实现隔离为偏差并等待产品确认 |
+| R-07 | 现有数据库已有企业和项目但没有组织树                                     | 迁移策略必须明确补建空树、失败回滚和重复执行方式                                                 |
+| R-08 | 为未来流程过早落地发布或授权表，形成不可验收的半成品                     | 工作流能力单独立项，本期只稳定可引用资源及查询语义                                               |
+
+### 13.2 已确认方案
+
+用户于 2026-09-16 确认初版组织方案；2026-09-17 明确平台下企业彼此独立。后者为最新决定，原企业间父子关系、排序及同父企业名称规则全部失效。当前确认方案如下：
+
+| 决策域       | 当前结论                                                                                                                |
+| ------------ | ----------------------------------------------------------------------------------------------------------------------- |
+| 企业边界     | 平台下企业彼此独立；沿用原有企业字段和项目直接 companyId，不新增企业间父子关系及其接口、权限或约束                      |
+| 组织与岗位   | 企业／项目各有独立组织树；三种职责、最多 10 层、无 memberSort；岗位为独立平面列表                                       |
+| 模板与迁移   | blank／template 显式初始化；存量只补幂等、可回滚的空组织树                                                              |
+| 页面与选择器 | Select 字段打开弹窗；平台管理员使用全局账号选择；企业成员直接注册／邀请，其中邀请协议待确认；项目成员从企业有效成员选择 |
+| 生命周期     | 组织单元、岗位和模板只停用／恢复；组织关系和任职可按既有语义解除                                                        |
+| 后续工作流   | 企业目标发布和任务授权整体后置；首个方向为项目流转到所属企业                                                            |
+
+## 14. 阶段门槛
+
+本需求文档中的独立企业、企业／项目组织树及成员入口选择已通过产品确认门；企业邀请仅确认入口存在，具体协议尚未通过确认门。当前实现与现行结论仍有两类发布阻断，继续交付前必须：
+
+1. 从当前 Schema、Shared、Server、Web、测试及 `0003_cute_killmonger.sql` 中移除企业间父子关系专属字段、接口、权限、约束、错误码、查询、移动、父级选择、展示类型和企业间排序行为。
+2. 将现有邀请代码、页面、自动化测试及 `0004_company-member-invitations.sql` 标记并隔离为未获确认的实现偏差；产品确认完整邀请协议前，不得迁移、发布或计入本专项契约与验收证据。
+3. 完成上述同步后，重新执行 Shared、Server、Web、迁移与静态检查，并核对文档中的端点和字段统计。
+
+数据库 `0003` 尚未应用。在以上同步和验证完成前不得执行该迁移；若以后需要跨企业管理，应另行编写 PRD 和技术契约。
+
+### 14.1 待确认项
+
+- 企业邀请必须另行确认邀请对象、账号绑定方式、载体、有效期、状态、接受／拒绝、撤销／重发、发送渠道、DTO、端点、Token、安全、事务、审计和验收标准。
+- 在上述协议确认并回写现行需求、设计和契约前，不得以现有实现或其他专项文档中的邀请细节作为默认产品规则；同时不得恢复旧的完整账号直接添加方式。
+
+### 14.2 变更记录
+
+| 日期       | 变更摘要                                                                                                     | 原因                                                           | 影响范围                                     |
+| ---------- | ------------------------------------------------------------------------------------------------------------ | -------------------------------------------------------------- | -------------------------------------------- |
+| 2026-09-18 | 纠偏企业邀请口径：只确认“邀请”入口，具体协议全部回到待确认；现有邀请代码、页面、自动化及 `0004` 记为实现偏差 | 产品未确认邀请对象、流程及技术协议，不能由现有实现反向定义需求 | FR-07、AC-31、成员能力、阶段门槛、联调与测试 |
+| 2026-09-18 | 明确当前 Schema、Shared、Server、Web、测试及 `0003` 仍残留企业层级实现                                       | 区分目标契约与实际实现状态，避免误判为已清理                   | 发布阻断、迁移、复验范围                     |
+| 2026-09-17 | 取消企业之间的父子层级，企业在平台下彼此独立                                                                 | 最新企业边界确认                                               | 需求、契约、数据库、接口、权限、UI、测试     |
+| 2026-09-17 | 企业成员改为直接注册／邀请；项目成员改为从所属企业有效成员中按 `userId` 选择                                 | 最新成员新增边界                                               | FR-07、AC-31、成员接口、选择器和测试         |

package/template-vp-monorepo-react-nestjs/.spaces/{server/05./344/270/212/344/274/240/346/224/271/351/200/240/346/226/271/346/241/210/README.md → 02./344/270/212/344/274/240/344/270/216/346/226/207/344/273/266//344/270/212/344/274/240/346/224/271/351/200/240//350/256/276/350/256/241/346/226/271/346/241/210.md}

@@ -1,7 +1,7 @@
 # 上传改造方案
 
-> 状态：讨论稿，尚未实施  
-> 基线日期：2026-09-02  
+> 状态：讨论稿，尚未实施；第 2 节保留并校正 2026-09-02 的历史基线  
+> 基线日期：2026-09-02；当前事实复核：2026-09-17  
 > 适用范围：apps/server、PostgreSQL、MinIO、Nginx  
 > 本文目标：把当前分片上传改造成“有长期文件记录、具备公司/项目归属、完成后返回标准文件信息、最终文件可经 Nginx 匿名只读访问”的完整方案。
 
@@ -36,7 +36,7 @@
 
 - 永久文件记录与上传会话拆分。
 - companyId、projectId 的传递、校验和持久化。
-- 分片上传接口补齐及完成响应调整。
+- 现有分片上传接口与新增归属字段、文件记录及完成响应的兼容调整。
 - fileId、fileUrl、文件名、后缀、大小等字段定义。
 - MinIO 公共只读 Bucket。
 - Nginx 文件代理。
@@ -54,7 +54,7 @@
 
 ## 2. 当前实现事实
 
-以下内容来自当前源码，不代表目标状态。
+以下内容已按 2026-09-17 源码复核，不代表目标状态。原方案中“没有 company、project、membership 模型”以及“上传模块尚未接通”的描述已经过期，现按当前事实修正。
 
 | 项目          | 当前状态                                            | 影响                                             |
 | ------------- | --------------------------------------------------- | ------------------------------------------------ |
@@ -65,14 +65,10 @@
 | MinIO Bucket  | uploads，anonymous policy 为 none                   | 普通 Nginx 匿名反代会得到 AccessDenied           |
 | MinIO 端口    | 9000、9001 映射到宿主机                             | 生产环境不应直接暴露                             |
 | Nginx         | 当前仓库没有文件代理配置                            | /files/\*\* 尚不存在                             |
-| 公司/项目模型 | 当前 schema 中没有 company、project、membership 表  | 无法可靠校验 companyId、projectId                |
+| 公司/项目模型 | 已有 companies、projects、company_members、project_members | 上传模块尚未接入这些模型，仍未校验 companyId、projectId |
 
-当前上传模块还存在以下接通问题，应在正式改造第一阶段处理：
+当前上传模块已经具备 Controller 五个路由、UploadModule 注册、`initiate()` 主流程和独立会话参数 DTO。仍需在正式改造中处理：
 
-- UploadController 目前只有初始化接口。
-- UploadService.initiate() 没有进入真正的新建逻辑，实际逻辑位于误拼的 initate()。
-- 当前没有 upload.module.ts，AppModule 也没有导入上传模块。
-- UploadSessionParamsDto 错误使用了包含 partNumber 的参数 Schema。
 - abort() 的部分成功路径没有返回统一响应。
 - initiate-mutipart-upload.dto.ts、upload.reponsitory.ts 存在文件名拼写问题。
 - 当前缺少上传模块专项测试。
@@ -668,20 +664,17 @@ MVP 至少应：
 - 确认缓存和撤回时效。
 - 确认是否存在需要迁移的历史上传数据。
 
-### 阶段 1：补齐 company/project 权限事实来源
+### 阶段 1：接入已有 company/project 权限事实来源
 
-- 建立 company、project、membership 模型或接入已有服务。
-- 确保可以从 projectId 校验 companyId。
-- 建立统一的公司/项目权限检查。
+- 复用现有 companies、projects、company_members、project_members 模型及访问控制能力。
+- 从 projectId 反查并校验 companyId，不能只信任客户端参数。
+- 将现有公司/项目成员资格与上传权限检查接入上传初始化、查询、分片、完成和取消流程。
 
-在此阶段完成前，不应仅靠新增两个 DTO 字段就把 companyId、projectId 写入数据库。
+现有模型并不等于上传模块已经完成归属校验。在本阶段完成前，不应仅靠新增两个 DTO 字段就把 companyId、projectId 写入数据库。
 
-### 阶段 2：修复上传模块基线
+### 阶段 2：收尾上传模块基线
 
-- 合并 initiate/initate。
-- 补齐 Controller 路由。
-- 创建并注册 UploadModule。
-- 修正参数 DTO。
+- 保留并回归验证当前已有的五个 Controller 路由、UploadModule、`initiate()` 主流程和独立会话参数 DTO。
 - 统一 abort 响应。
 - 修正相关文件名拼写及引用。
 - 添加当前行为回归测试。

package/template-vp-monorepo-react-nestjs/.spaces/{server/06./345/205/254/345/205/261/351/230/237/345/210/227/346/216/245/345/205/245/346/226/271/346/241/210//344/270/212/344/274/240/346/270/205/347/220/206.md → 02./344/270/212/344/274/240/344/270/216/346/226/207/344/273/266//344/270/212/344/274/240/346/270/205/347/220/206//350/256/276/350/256/241/346/226/271/346/241/210.md}

@@ -1,7 +1,7 @@
 # 上传文件定时清理：给前端开发者的 NestJS + BullMQ 实现教程
 
 > 本文是动手实现教程，代码需要你按步骤写入项目；更新本文不代表业务代码已经实现。
-> 基线：2026-09-05 的 `apps/server`，PostgreSQL + Drizzle + MinIO，公共队列沿用 [README](./README.md)。
+> 基线：2026-09-05 的 `apps/server`，PostgreSQL + Drizzle + MinIO，公共队列沿用 [公共队列设计方案](../../03.任务队列/公共队列/设计方案.md)。
 > 最终效果：后端每分钟自动扫描，找到过期且没有分片正在上传的会话，逐个释放 MinIO 中的未完成分片，并保存清理结果。
 
 ## 先理解最终效果
@@ -69,7 +69,7 @@ NestJS 启动：向 Redis 注册一条固定的周期规则
 
 当前仓库已声明 `bullmq` 和 `@nestjs/bullmq` 依赖，并已有公共队列文件。开始前先检查基础能力是否跑通；如果你还在较早的代码版本上，按基础篇补齐即可，不必重复创建已有文件。
 
-对照 [公共队列 README](./README.md)，确认下面这些文件存在，并看到 `system.queue-smoke.v1` 被 Worker 成功处理，再继续本篇：
+对照 [公共队列设计方案](../../03.任务队列/公共队列/设计方案.md)，确认下面这些文件存在，并看到 `system.queue-smoke.v1` 被 Worker 成功处理，再继续本篇：
 
 ```text
 apps/server/src/config/queue.config.ts
@@ -231,20 +231,19 @@ export const uploadPartLeases = pgTable(
 
 一片正在上传，就有一条租约。唯一索引保证同一会话同一分片不会被两次请求同时占用。不同分片仍能并行。现有 Service 已检查 `partNumber` 范围，登记租约放在参数校验之后。
 
-### 3.3 生成并执行迁移
+### 3.3 生成迁移并等待全仓阻断解除
 
 ```powershell
 vp run --filter server db:generate
 ```
 
-打开新生成的 `apps/server/drizzle/*.sql`，确认包含新增字段、表和索引，没有意外删除旧字段。然后在本地开发数据库执行：
+打开新生成的 `apps/server/drizzle/*.sql`，确认包含新增字段、表和索引，没有意外删除旧字段。当前仓库完整迁移链受企业层级残留 `0003` 和未确认邀请实现 `0004` 阻断，不得执行 `db:migrate`、手工跳号或使用 `db:push` 绕过。两项阻断解除并完成隔离验证后，按[数据库迁移指南](../../05.运行维护/数据库迁移/操作指南.md)执行经审阅的迁移，再运行：
 
 ```powershell
-vp run --filter server db:migrate
 vp run --filter server db:studio
 ```
 
-Studio 应能看到新结构。`db:generate` 只生成 SQL，`db:migrate` 才修改数据库；只改 TypeScript 不会自动建表。
+届时 Studio 应能看到新结构。`db:generate` 只生成 SQL，不会修改数据库；只改 TypeScript 同样不会自动建表。
 
 ## 第 4 步：共用一把短事务锁
 
@@ -1444,7 +1443,7 @@ vp run --filter server build
 
 至少持续观察扫描次数、候选数、清理成功数、最终失败 Job、最老未处理记录和长期 `completing` 记录。原始 SDK 错误可能包含连接和存储信息，公共日志只记录安全元数据；Redis 内的失败 Job 也应限权访问并按基础篇设置保留上限。
 
-上线已有服务时，先迁移数据库，保持清理预览模式，部署完所有支持分片租约的新 API/Worker，排空旧实例及旧在途上传，再启用实际清理。新旧版本混跑时，旧 API 不登记租约，后台无法知道它正在上传，不能提前打开实际清理。
+全仓迁移阻断解除并完成隔离验证后，上线已有服务时才先执行经审阅的数据库迁移，保持清理预览模式，部署完所有支持分片租约的新 API/Worker，排空旧实例及旧在途上传，再启用实际清理。新旧版本混跑时，旧 API 不登记租约，后台无法知道它正在上传，不能提前打开实际清理。
 
 本教程使用租约、封口、结果确认和重复补偿处理常见并发与故障。生产还需验证数据库断连、进程暂停超过租约、存储慢请求及实例强杀等情况，并配置请求超时和告警，不能仅凭一次本地成功宣称所有故障已覆盖。
 
@@ -1462,4 +1461,10 @@ vp run --filter server build
 - [ ] 重启不会累积重复规则，停用能删除已有规则。
 - [ ] 完成了测试及 PostgreSQL、Redis、MinIO 实际联调。
 
-参考：[公共队列基础篇](./README.md)、[上传教程的过期清理说明](../04.upload.md#第-18-步过期清理和生产安全)、[BullMQ Job Schedulers](https://docs.bullmq.io/guide/job-schedulers)。如果以后实施了 [files 表上传改造](../05.上传改造方案/README.md)，还需同步该新模型的文件状态；本文代码以当前只有 upload_sessions 的实现为准。
+参考：[公共队列基础篇](../../03.任务队列/公共队列/设计方案.md)、[上传教程的过期清理说明](../分片上传/实施教程.md#第-18-步过期清理和生产安全)、[BullMQ Job Schedulers](https://docs.bullmq.io/guide/job-schedulers)。如果以后实施了 [files 表上传改造](../上传改造/设计方案.md)，还需同步该新模型的文件状态；本文代码以当前只有 `upload_sessions` 的实现为准。
+
+## 变更记录
+
+| 日期       | 变更摘要                                                                                   | 影响范围             |
+| ---------- | ------------------------------------------------------------------------------------------ | -------------------- |
+| 2026-09-18 | 标明当前仓库完整迁移链受 `0003`／`0004` 阻断，上传清理迁移在阻断解除前只生成和审阅、不执行 | 迁移、联调与上线顺序 |