node-resource-utils 0.0.0-stage → 1.1.8

package/resources/scripts/check-config.mjs

@@ -0,0 +1,773 @@
+/**
+ * 系统配置校验 —— 不配置就构建失败。
+ *
+ * 为什么要有这个：光靠提示词"提醒 AI 改"是靠不住的，AI 会忘、会跳步、
+ * 会在别的地方写一堆演示文案。这里在构建前硬检查，
+ * 让"交上去还是个演示系统"变得不可能。
+ *
+ * 检查五类：
+ *   系统身份：APP_NAME / APP_DESC / SHOW_DEMO_ACCOUNT_HINT / HOME_STATS
+ *   知识图谱：默认本体 / model 在 schema 里存在 / 每个本体有 titleField 与 layer /
+ *             views 与 relations 引用闭合（视图 id、root、关系两端都对得上）
+ *   系统管理：部门管理必须存在（页面 + 增删改查接口 + 菜单），
+ *             这一项不走配置，直接查文件 —— 因为 AI 十次有八次会把部门管理漏掉
+ *   全局搜索：搜索组件必须还在、且挂在 AdminShell 上、Menu 有 keywords 字段 ——
+ *             它是"功能能不能被找到"的唯一入口，删了整个系统的可达性就没了
+ *   数据权限：rbac.ts 的三件套、Role.dataScope、员工列表/导出的 deptScope 接线 ——
+ *             功能权限只决定"能不能进页面"，它才决定"进去能看哪些行"
+ *   关系覆盖：视图里同时出现的两个本体，如果 schema 里有外键/桥接表连接，
+ *             图上却没有任何路径，直接报错 —— 专治"考试和人员都在图里、却没配关系"。
+ *             全局漏配（本体不在视图里）只提示不报错，见 npm run relations。
+ *
+ * 为什么连引用闭合也要查：图谱是"配置驱动"的，ontology.ts 里写错一个 id
+ * （视图引用了不存在的本体、root 不在视图里、关系两端拼错）不会报编译错误，
+ * 只会在打开 /graph 时变成红色「图谱加载失败」，而 tsc 完全看不出来。
+ *
+ * 用法：
+ *   npm run check:config    手动检查
+ *   npm run build           自动检查（prebuild 钩子）
+ */
+import { readFileSync, readdirSync } from 'node:fs';
+import { analyze, suggestSnippet } from './lib/schema-graph.mjs';
+
+const NL = '\n';
+const APPINFO = 'src/lib/appInfo.ts';
+const ONTOLOGY = 'src/lib/ontology.ts';
+const SCHEMA = 'prisma/schema.prisma';
+
+const errors = [];
+/** 不阻塞构建的"可能漏配"提示（关系漏配、本体缺 link、默认副标题…） */
+const warnings = [];
+
+function readOrNull(path) {
+  try {
+    return readFileSync(path, 'utf8');
+  } catch {
+    return null;
+  }
+}
+
+/** 取 `export const X = ...;` 的值（粗提取，够用） */
+function grab(src, name) {
+  const re = new RegExp('export const ' + name + '\\s*(?::[^=]+)?=\\s*([\\s\\S]*?);');
+  const m = src.match(re);
+  return m ? m[1].trim() : null;
+}
+
+/* ============================ 1. appInfo.ts ============================ */
+
+const appSrc = readOrNull(APPINFO);
+if (!appSrc) {
+  console.error(`\n[check-config] 找不到 ${APPINFO}\n`);
+  process.exit(1);
+}
+
+const appName = grab(appSrc, 'APP_NAME');
+if (!appName || appName === "'业务管理系统'") {
+  errors.push(
+    'APP_NAME 还是项目默认值「业务管理系统」。' + NL +
+    '     → 改成题目里的系统名，例如 \'车辆派遣管理系统\''
+  );
+}
+
+const appDesc = grab(appSrc, 'APP_DESC');
+if (appDesc && /基于\s*Next\.js|antd|Prisma/i.test(appDesc)) {
+  errors.push(
+    'APP_DESC 还在描述技术栈（"基于 Next.js + antd + Prisma"），一眼就是模板。' + NL +
+    '     → 改成这个系统的业务定位'
+  );
+} else if (appDesc && /RBAC|操作审计|数据导出/.test(appDesc)) {
+  // 默认值「内置 RBAC 权限、操作审计与数据导出的业务系统」不含技术栈关键词，
+  // 只按技术栈判断会漏掉它，于是 meta description 和登录页一直挂着"RBAC"。
+  errors.push(
+    'APP_DESC 还是基础项目默认的「内置 RBAC 权限、操作审计与数据导出的业务系统」。' + NL +
+    '     → 改成这个系统的业务定位，例如「车辆申请、审批派车与归队登记」'
+  );
+}
+
+const appSubtitle = grab(appSrc, 'APP_SUBTITLE');
+if (appSubtitle && /RBAC|操作审计|数据导出/.test(appSubtitle)) {
+  warnings.push(
+    'APP_SUBTITLE 还是基础项目默认文案（侧边栏品牌区和登录页都会显示这一行）' + NL +
+    '        → 改成一句业务定位，例如「车辆申请、审批派车与归队登记」'
+  );
+}
+
+const demoHint = grab(appSrc, 'SHOW_DEMO_ACCOUNT_HINT');
+if (demoHint === 'true') {
+  errors.push(
+    'SHOW_DEMO_ACCOUNT_HINT 还是 true，登录页会显示「演示账号：admin / 123456」。' + NL +
+    '     → 改成 false。这是评委一眼认出"这是演示系统"的最强信号'
+  );
+}
+
+const homeStats = grab(appSrc, 'HOME_STATS');
+if (homeStats && /userCount/.test(homeStats) && /roleCount/.test(homeStats)) {
+  errors.push(
+    'HOME_STATS 还是「用户总数 / 角色数量 / 员工总数」这类系统自身指标。' + NL +
+    '     → 换成这个业务最该看的指标，例如「待派车申请 / 今日出车 / 可用车辆」'
+  );
+}
+
+/* ============================ 2. ontology.ts ============================ */
+
+/** 去掉注释和字符串里的干扰（否则注释掉的示例代码会被误判成真实配置） */
+function stripComments(src) {
+  return src
+    // 块注释 /* ... */（保留换行，避免行号错乱）
+    .replace(/\/\*[\s\S]*?\*\//g, (m) => m.replace(/[^\n]/g, ''))
+    // 行注释 // ...
+    .replace(/(^|[^:])\/\/[^\n]*/g, '$1');
+}
+
+const ontoRaw = readOrNull(ONTOLOGY);
+// ★ 必须剥注释：ontology.ts 底部有一整段注释掉的示例配置，
+//   不剥的话会把示例里的 model 名当成真实引用，产生误报。
+const ontoSrc = ontoRaw ? stripComments(ontoRaw) : null;
+if (ontoSrc) {
+  // 基础项目默认本体：部门 / 员工 / 角色 / 账号 / 日志
+  // ★ user 必须在内：默认配置里就有它，漏掉的话 isDefault 永远算成 false，
+  //   这条检查就变成了摆设（改业务前忘了换本体也不会报错）。
+  const DEFAULT_IDS = ['department', 'employee', 'role', 'log', 'user'];
+
+  // ★ 只在 ONTOLOGY 配置对象内部找。文件顶部的 interface GraphView 里也有
+  //   "relations: string[];"，从全文 indexOf 会切到接口声明上（已踩）。
+  //   锚点用 ] as EntityDef / RelationDef / GraphView，它们只出现在配置里。
+  const cfgAt = ontoSrc.indexOf('export const ONTOLOGY');
+  const cfg = cfgAt >= 0 ? ontoSrc.slice(cfgAt) : ontoSrc;
+  const entEndAt = cfg.indexOf('] as EntityDef');
+  const relEndAt = cfg.indexOf('] as RelationDef');
+  const sliceBetween = (startKey, endMarker, from = 0) => {
+    const s = cfg.indexOf(startKey, from);
+    const e = s >= 0 ? cfg.indexOf(endMarker, s) : -1;
+    return s >= 0 && e > s ? cfg.slice(s, e) : '';
+  };
+  const entBlock = sliceBetween('entities: [', '] as EntityDef');
+  const relBlock = sliceBetween('relations: [', '] as RelationDef', entEndAt);
+  const viewBlock = sliceBetween('views: [', '] as GraphView', relEndAt);
+
+  // 每个实体是一个 { ... }（内部没有嵌套对象，subtitleFields 是数组不是对象）
+  const entObjs = [...entBlock.matchAll(/\{[^{}]*\}/g)].map((m) => m[0]);
+  const entIds = [];
+  for (const o of entObjs) {
+    const id = o.match(/id:\s*'([^']+)'/)?.[1];
+    if (!id) continue;
+    entIds.push(id);
+    if (!/titleField:\s*'[^']+'/.test(o)) {
+      errors.push(
+        `本体 ${id} 没写 titleField —— 图谱节点会用 id 当代号，显示成一串 "clx..."。` + NL +
+        "     → 加 titleField: 'name'（或编号字段）"
+      );
+    }
+    if (!/layer:\s*\d/.test(o)) {
+      errors.push(
+        `本体 ${id} 没写 layer —— 分层布局会退化成散乱的力导图。` + NL +
+        '     → 加 layer: 0/1/2，同层的放同一个值（业务上一般：组织 0 → 资源/人 1 → 单据 2）'
+      );
+    }
+  }
+
+  const isDefault =
+    entIds.length > 0 && entIds.every((id) => DEFAULT_IDS.includes(id));
+
+  if (isDefault) {
+    errors.push(
+      'ontology.ts 还是基础项目默认的「部门-员工-角色-日志」本体，跟题目无关 —— 知识图谱会显示一堆跟业务不相关的东西。' + NL +
+      '     → 改成题目的业务本体，例如车辆派遣：部门 / 车辆 / 驾驶员 / 派遣申请' + NL +
+      '     → 每个 entity 都要给 layer: 0/1/2（数值小的在左）'
+    );
+  }
+
+  // ---- 关系：两端必须指向已声明的本体（写错就是永远画不出来的边） ----
+  // 关系对象里 via 有嵌套花括号，不能按 {..} 切；直接抓 id / from / to
+  const rels = [...relBlock.matchAll(
+    /\{\s*id:\s*'([^']+)'[\s\S]*?from:\s*'([^']+)'[\s\S]*?to:\s*'([^']+)'/g
+  )].map((m) => ({ id: m[1], from: m[2], to: m[3] }));
+  const relIds = rels.map((r) => r.id);
+  for (const r of rels) {
+    for (const end of [r.from, r.to]) {
+      if (!entIds.includes(end)) {
+        errors.push(
+          `关系 ${r.id} 的 from/to 指向不存在的本体 ${end} —— 这条边永远画不出来。` + NL +
+          '     → 改成 entities 里已声明的本体 id'
+        );
+      }
+    }
+  }
+
+  // ---- 视图：entities / relations / root 必须闭合 ----
+  const viewObjs = [...viewBlock.matchAll(/\{[^{}]*\}/g)].map((m) => m[0]);
+  if (!viewObjs.length) {
+    errors.push(
+      'ontology.ts 没有配置 views —— 打开 /graph 只会看到红色「图谱加载失败」。' + NL +
+      "     → 加一个视图：views: [{ id:'main', label:'业务关系图', entities:[...], relations:[...], root:'xxx' }]"
+    );
+  }
+  const viewIds = [];
+  for (const o of viewObjs) {
+    const vid = o.match(/id:\s*'([^']+)'/)?.[1];
+    if (!vid) continue;
+    viewIds.push(vid);
+    const root = o.match(/root:\s*'([^']+)'/)?.[1];
+    const list = (k) =>
+      (o.match(new RegExp(k + ':\\s*\\[([^\\]]*)\\]'))?.[1] ?? '')
+        .split(',')
+        .map((s) => s.trim().replace(/^'|'$/g, ''))
+        .filter(Boolean);
+    const ents = list('entities');
+    const relsInView = list('relations');
+    if (!ents.length) {
+      errors.push(`视图 ${vid} 的 entities 是空的 —— 图上不会有任何节点。`);
+    }
+    const badEnts = ents.filter((e) => !entIds.includes(e));
+    if (badEnts.length) {
+      errors.push(`视图 ${vid} 引用了不存在的本体：${badEnts.join(', ')} —— 视图加载会直接报错。`);
+    }
+    const badRels = relsInView.filter((r) => !relIds.includes(r));
+    if (badRels.length) {
+      errors.push(`视图 ${vid} 引用了不存在的关系：${badRels.join(', ')}`);
+    }
+    if (!root) {
+      errors.push(`视图 ${vid} 没写 root —— 服务端取不到默认中心节点。`);
+    } else if (!ents.includes(root)) {
+      errors.push(`视图 ${vid} 的 root「${root}」不在该视图的 entities 里 —— 默认中心节点画不出来。`);
+    }
+  }
+
+  // id 不能重复（重复会让视图引用到错误的那个）
+  for (const [kind, list] of [
+    ['本体', entIds],
+    ['关系', relIds],
+    ['视图', viewIds],
+  ]) {
+    const dup = [...new Set(list.filter((x, i) => list.indexOf(x) !== i))];
+    if (dup.length) errors.push(`${kind} id 重复：${dup.join(', ')}`);
+  }
+
+  // ontology 里声明的 model 必须在 schema 里存在，否则查不出数据
+  const schemaSrc = readOrNull(SCHEMA);
+  if (schemaSrc) {
+    const models = new Set(
+      [...schemaSrc.matchAll(/^model\s+(\w+)/gm)].map((m) => m[1])
+    );
+    const usedRe = /model:\s*'([A-Za-z_]\w*)'/g;
+    const used = [...ontoSrc.matchAll(usedRe)].map((m) => m[1]);
+    const missing = [...new Set(used)].filter((m) => !models.has(m));
+    if (missing.length) {
+      errors.push(
+        'ontology.ts 引用了 schema 中不存在的模型：' + missing.join(', ') + NL +
+        '     → 要么把 ontology 里的 model 名改成真实的模型名，要么在 schema 里建它（否则图谱查不出节点）'
+      );
+    }
+  }
+}
+
+/* ============================ 3. 系统管理完整性 ============================ */
+
+/**
+ * 部门管理是硬性要求。
+ *
+ * 为什么不在提示词里说一说就完事：AI 生成"系统管理"时，
+ * 十次有八次只做用户 + 角色，把部门漏掉 —— 因为用户管理里有个部门下拉，
+ * 看起来"已经覆盖了"。实际上没有部门维护入口，组织结构就是死的。
+ * 这里直接查文件存在性，漏了构建就失败。
+ */
+const DEPT_PAGE = 'src/app/(admin)/system/depts/page.tsx';
+const DEPT_API = 'src/app/api/depts/route.ts';
+const DEPT_ITEM_API = 'src/app/api/depts/[id]/route.ts';
+const SEED = 'prisma/seed.ts';
+
+const deptPageSrc = readOrNull(DEPT_PAGE);
+if (!deptPageSrc) {
+  errors.push(
+    `缺少部门管理页面 ${DEPT_PAGE}` + NL +
+    '     → 系统管理必须有「部门管理」：用户/员工都要挂部门，没有维护入口组织结构就是死的'
+  );
+}
+
+const deptApiSrc = readOrNull(DEPT_API);
+if (!deptApiSrc) {
+  errors.push(`缺少部门接口 ${DEPT_API}（至少要有 GET 树 + POST 新增）`);
+} else if (!/export const POST/.test(deptApiSrc)) {
+  errors.push(`${DEPT_API} 里没有 POST —— 部门只能查不能建，等于没做`);
+}
+
+const deptItemSrc = readOrNull(DEPT_ITEM_API);
+if (!deptItemSrc) {
+  errors.push(`缺少部门更新/删除接口 ${DEPT_ITEM_API}`);
+} else {
+  if (!/export const PUT/.test(deptItemSrc)) errors.push(`${DEPT_ITEM_API} 里没有 PUT —— 部门改不了`);
+  if (!/export const DELETE/.test(deptItemSrc)) {
+    errors.push(`${DEPT_ITEM_API} 里没有 DELETE —— 部门删不了`);
+  }
+}
+
+const seedSrc = readOrNull(SEED);
+if (!seedSrc) {
+  errors.push('找不到 prisma/seed.ts —— 菜单没法初始化');
+} else if (!/name:\s*'部门管理'/.test(seedSrc)) {
+  errors.push(
+    'prisma/seed.ts 里没有「部门管理」菜单 —— 页面存在也点不进去。' + NL +
+    "     → 在「系统管理」的 children 里补一条：{ name:'部门管理', path:'/system/depts', icon:'ApartmentOutlined', permCode:'system:dept:list' }"
+  );
+}
+
+/* ============================ 3.1 部门开关 ============================ */
+
+/**
+ * 部门管理是"四件套"里唯一被开关控制的一个。
+ *
+ * 页面、接口、菜单都在，但 features.ts 里 department 还是 false 时，
+ * 侧边栏 / 全局搜索 / 菜单管理 / 角色授权四处会一起把它摘掉 ——
+ * 交付物上就是"没有部门管理"，而前面那些文件检查全都通过了。
+ * 这条不查，等于四件套只保住了三件。
+ */
+const FEATURES_FILE = 'src/lib/features.ts';
+const featuresSrc = readOrNull(FEATURES_FILE);
+if (featuresSrc === null) {
+  errors.push(
+    `缺少 ${FEATURES_FILE} —— 功能开关是这个基础项目的一部分，模块缺失就无从判断哪些该显示` + NL +
+    '     → 从 node_modules/node-resource-utils/resources 恢复'
+  );
+} else if (!/^[ \t]*department:\s*true/m.test(featuresSrc)) {
+  errors.push(
+    `${FEATURES_FILE} 里 department 还不是 true —— 部门管理会被四处隐藏（侧边栏 / 全局搜索 / 菜单管理 / 角色授权），交付物上看就是"没有部门管理"` + NL +
+    '     → 系统管理是硬性四件套（部门 / 用户 / 角色 / 菜单），把 department 改成 true'
+  );
+}
+
+/* ============================ 3.2 AI 工具层（能办事，不只是聊天） ============================ */
+
+/**
+ * 工具层是"AI 不只是问答"的唯一实现路径。
+ *
+ * 为什么用文件检查而不是只写在提示词里：
+ *   后续 AI 改业务时很容易觉得"快照够用了"，把工具循环删掉；
+ *   或者嫌确认卡麻烦，让对话接口直接写库。那一瞬间系统就退回成套壳问答。
+ *   这里只查存在性与关键调用，不限制业务 —— 工具本来就是按 ontology 自动生成的，
+ *   换业务不需要动这里的任何文件。
+ */
+const AI_TOOLS = 'src/lib/aiTools.ts';
+const AI_ACT_API = 'src/app/api/ai/act/route.ts';
+const AI_CHAT_API = 'src/app/api/ai/chat/route.ts';
+const AI_PANEL = 'src/components/AiPanel.tsx';
+
+if (!readOrNull(AI_TOOLS)) {
+  errors.push(
+    `缺少 AI 工具层 ${AI_TOOLS}` + NL +
+    '     → 它按 ontology 实体 + prisma 字段自动生成 query_ 与 create_ 工具，' + NL +
+    '       删掉之后助手只能聊天，不能查数据也不能办事'
+  );
+}
+
+const actSrc = readOrNull(AI_ACT_API);
+if (!actSrc) {
+  errors.push(
+    `缺少动作执行接口 ${AI_ACT_API}` + NL +
+    '     → 写操作必须由用户在确认卡上点确认后才执行，不能让对话接口直接写库'
+  );
+} else if (!/verifyAction/.test(actSrc)) {
+  errors.push(`${AI_ACT_API} 没有校验动作令牌 —— 前端就能改参数，"二次确认"等于没有`);
+}
+
+const chatSrc = readOrNull(AI_CHAT_API);
+if (!chatSrc) {
+  errors.push(`缺少统一助手接口 ${AI_CHAT_API}`);
+} else if (!/buildAiTools/.test(chatSrc)) {
+  errors.push(
+    `${AI_CHAT_API} 没有挂载工具（buildAiTools）` + NL +
+    '     → 助手只能凭快照回答，"哪个部门用车最多"这类聚合问题算不出来'
+  );
+}
+
+const panelSrc = readOrNull(AI_PANEL);
+if (panelSrc && !/\/api\/ai\/act/.test(panelSrc)) {
+  errors.push(`${AI_PANEL} 缺少确认卡（没有调用 /api/ai/act）—— 写操作没有入口，功能没接完`);
+}
+
+/* ============================ 3.5 关系覆盖 ============================ */
+
+/**
+ * 视图内的"该连未连"是硬错误：
+ * 两个本体都摆进图里了，schema 也有外键或桥接表，图上却连不起来 ——
+ * 评委一眼就能看出"考试和人员没关系？不对吧"。
+ * 允许两跳可达（A—C—B），因为那至少是连通的；完全不通才报错。
+ */
+const schemaForRel = readOrNull(SCHEMA);
+if (ontoRaw && schemaForRel) {
+  const rel = analyze(schemaForRel, ontoRaw);
+
+  const describe = (l) =>
+    l.kind === 'bridge'
+      ? `桥接表 ${l.bridgeModel}（${l.fromField} / ${l.toField}${l.pure ? '，纯中间表' : `，含 ${l.payload.join('/')}`}）`
+      : `外键 ${l.aModel}.${l.field}`;
+
+  for (const v of rel.viewIssues) {
+    errors.push(
+      `视图「${v.view}」里「${v.a}」和「${v.b}」都在，schema 也有连接（${describe(v.link)}），` + NL +
+      '    但图上的关系里没有任何路径把它们连起来 —— 这正是"关系漏配"的典型表现。' + NL +
+      `     → 补一条关系（可直接粘到 ontology.ts）：${suggestSnippet(v.link, rel.entities)}` + NL +
+      '     → 或者把它们拆到两个视图里，别放在同一张图上'
+    );
+  }
+
+  const reported = new Set(
+    rel.viewIssues.map((v) => `${v.aId}|${v.bId}|${v.link.kind}|${v.link.bridgeModel ?? ''}`)
+  );
+  for (const m of rel.missing) {
+    const key = `${m.aEntity}|${m.bEntity}|${m.kind}|${m.bridgeModel ?? ''}`;
+    if (reported.has(key) || reported.has(`${m.bEntity}|${m.aEntity}|${m.kind}|${m.bridgeModel ?? ''}`)) continue;
+    const a = rel.entities.find((e) => e.id === m.aEntity)?.label ?? m.aEntity;
+    const b = rel.entities.find((e) => e.id === m.bEntity)?.label ?? m.bEntity;
+    warnings.push(`${a} ↔ ${b}（${describe(m)}）未在 relations 里声明 —— 跑 npm run relations 看建议片段`);
+  }
+}
+
+/* ============================ 3.3 全局搜索（功能 + 数据都要搜得到） ============================ */
+
+/**
+ * 全局搜索是"功能能不能被找到"的唯一入口。
+ *
+ * 为什么也要查文件：搜索本身是项目自带能力（菜单树即索引，零注册），
+ * AI 不需要为它写代码，但也**不能把它删了/改了**——
+ * 曾经出现过 AI 觉得顶栏"多余"把搜索入口删掉的情况。
+ * 这里只查存在性，不限制业务：新功能只要登记了菜单就自动进搜索。
+ */
+const GLOBAL_SEARCH = 'src/components/admin/GlobalSearch.tsx';
+const ADMIN_SHELL = 'src/components/admin/AdminShell.tsx';
+const MENU_SERVICE = 'src/lib/menu-service.ts';
+const SEARCH_DATA = 'src/lib/search-data.ts';
+const SEARCH_API = 'src/app/api/search/route.ts';
+
+const searchSrc = readOrNull(GLOBAL_SEARCH);
+if (!searchSrc) {
+  errors.push(
+    `缺少全局搜索组件 ${GLOBAL_SEARCH}` + NL +
+    '     → 它是项目自带能力：顶栏搜索框 / Ctrl K，索引来自菜单树，' + NL +
+    '       不要删也不要自己另写一个。被误删了从 node_modules/node-resource-utils/resources 恢复'
+  );
+}
+
+const shellSrc = readOrNull(ADMIN_SHELL);
+if (shellSrc && !/GlobalSearch/.test(shellSrc)) {
+  errors.push(
+    `${ADMIN_SHELL} 里没有引用 GlobalSearch —— 组件还在但没挂到顶栏，用户找不到入口。` + NL +
+    '     → 恢复 import GlobalSearch 与 <GlobalSearch entries={searchEntries} />'
+  );
+}
+
+const menuSvcSrc = readOrNull(MENU_SERVICE);
+if (menuSvcSrc && !/export function buildSearchEntries/.test(menuSvcSrc)) {
+  errors.push(
+    `${MENU_SERVICE} 里没有 buildSearchEntries —— 菜单树转搜索索引的函数被删了。` + NL +
+    '     → 从 node_modules/node-resource-utils/resources 恢复；它和侧边栏共用同一棵菜单树，权限可见范围才一致'
+  );
+}
+
+const searchDataSrc = readOrNull(SEARCH_DATA);
+if (!searchDataSrc) {
+  errors.push(
+    `缺少数据搜索层 ${SEARCH_DATA}` + NL +
+    '     → 它负责「在用户权限范围内搜业务记录」：页面闸（菜单可见）+ 部门范围 + 敏感字段排除。' + NL +
+    '       删了之后搜索只能搜到功能，搜不到任何数据'
+  );
+}
+
+if (!readOrNull(SEARCH_API)) {
+  errors.push(
+    `缺少数据搜索接口 ${SEARCH_API}` + NL +
+    '     → 前端只能传关键词、不能传表名；能搜哪些表由 ontology 白名单决定，不要改成通用代理接口'
+  );
+}
+
+const schemaForSearch = readOrNull(SCHEMA);
+if (schemaForSearch) {
+  const menuBlock = schemaForSearch.match(/model\s+Menu\s*\{[\s\S]*?\n\}/);
+  if (!menuBlock || !/keywords/.test(menuBlock[0])) {
+    errors.push(
+      'prisma/schema.prisma 的 Menu 模型没有 keywords 字段（全局搜索别名）。' + NL +
+      "     → 补一行：keywords String? // 搜索别名：空格或逗号分隔的口语词，全局搜索用"
+    );
+  }
+}
+
+/**
+ * 本体没写 link → 这类数据进不了搜索（搜到了也没页面可跳）。
+ * 只提示不报错：确实存在"不该让用户点进去"的中间表/统计表。
+ */
+const ontoForSearch = readOrNull(ONTOLOGY);
+if (ontoForSearch) {
+  const src = stripComments(ontoForSearch);
+  const s = src.indexOf('entities: [');
+  const e = s >= 0 ? src.indexOf('] as EntityDef', s) : -1;
+  const block = s >= 0 && e > s ? src.slice(s, e) : '';
+  for (const obj of [...block.matchAll(/\{[^{}]*\}/g)].map((m) => m[0])) {
+    const id = obj.match(/id:\s*'([^']+)'/)?.[1];
+    if (id && !/link:\s*'[^']+'/.test(obj)) {
+      warnings.push(
+        `本体「${id}」没配 link —— 它的数据不会进全局搜索（无法跳转）` + NL +
+        "        → 加一行 link: '/列表页?kw=:kw'（或 '?id=:id'，页面自己打开详情）"
+      );
+    }
+  }
+}
+
+/* ============================ 3.4 数据权限（角色范围 + 业务接口接线） ============================ */
+
+/**
+ * 功能权限（能不能进页面）由菜单树决定，数据权限（进去能看哪些行）由 Role.dataScope 决定。
+ * 这里只查三件"少了就等于没做"的事：
+ *   1. rbac.ts 还在，且数据范围的三件套没被删
+ *   2. Role 上还有 dataScope 字段（没有它，角色页就选不了范围）
+ *   3. 基础项目自带的员工列表 / 导出接上了 deptScope（它们是全场照抄的模板）
+ * 其余业务表只提示不拦构建 —— 模型名到接口名的映射靠猜，误报会挡住正常构建。
+ */
+const RBAC = 'src/lib/rbac.ts';
+const rbacSrc = readOrNull(RBAC);
+if (!rbacSrc) {
+  errors.push(
+    `缺少权限模块 ${RBAC}` + NL +
+    '     → 它负责「角色能看哪些数据」，从 node_modules/node-resource-utils/resources 恢复，不要自己重写'
+  );
+} else {
+  const missing = ['DATA_SCOPE', 'effectiveDataScope', 'deptScope'].filter((k) => !rbacSrc.includes(k));
+  if (missing.length) {
+    errors.push(
+      `数据范围没落地：${RBAC} 里找不到 ${missing.join(' / ')}` + NL +
+      '     → 角色页的「数据范围」下拉和所有业务接口的 deptScope 都依赖它'
+    );
+  }
+}
+
+const roleBlock = (readOrNull(SCHEMA) ?? '').match(/model\s+Role\s*\{([\s\S]*?)\n\}/);
+if (roleBlock && !/\bdataScope\b/.test(roleBlock[1])) {
+  errors.push(
+    'Role 模型缺少 dataScope 字段 —— 角色管理里就选不了数据范围' + NL +
+    '     → prisma/schema.prisma 的 Role 里加 dataScope Int @default(2)，再 npx prisma db push'
+  );
+}
+
+for (const f of ['src/app/api/employees/route.ts', 'src/app/api/employees/export/route.ts']) {
+  const s = readOrNull(f);
+  if (s && !s.includes('deptScope')) {
+    errors.push(
+      `${f} 没套数据范围 —— 换个部门账号就能把全公司的人导出去` + NL +
+      '     → 在所有筛选条件之后 Object.assign(where, deptScope(user))'
+    );
+  }
+}
+
+/**
+ * 容易漏的"侧门"：不是列表页，但同样是数据出口。
+ * 这些是基础项目自带的实现，删了任何一处，前面在列表上做的过滤就白做了。
+ */
+const SIDE_DOORS = [
+  ['src/lib/aiTools.ts', 'deptScope', 'AI 的 query_ 工具 —— "问一句就出全表"的最短路径'],
+  ['src/app/api/graph/route.ts', 'graphWhereOf', '知识图谱 —— 一眼看全库的入口'],
+  ['src/app/api/graph/node/route.ts', 'graphWhereOf', '图谱详情面板 / 删除影响预览 —— 按 id 直取全字段'],
+  ['src/app/api/graph/focus/route.ts', 'deptScope', '业务记录 → 图谱关联簇'],
+  ['src/app/api/logs/route.ts', 'effectiveDataScope', '操作日志 —— 没有 deptId 的表按"只看自己"收口'],
+  ['src/app/api/files/[name]/route.ts', 'uploadOwnerOf', '上传文件下载 —— 别人上传的 Excel 不能读'],
+  ['src/app/api/export/route.ts', 'deptScope', '通用导出入口'],
+  ['src/app/api/stats/route.ts', 'deptScope', '看板统计与图表'],
+  ['src/auth.ts', 'deptIds', '登录时把部门子树塞进 JWT —— 没有它 deptScope 只能锁单个部门'],
+];
+for (const [f, needle, why] of SIDE_DOORS) {
+  const s = readOrNull(f);
+  /**
+   * ★ 路径写错 / 文件被改名时必须是**错误**，不能静默跳过。
+   *   这套检查的意义就是"有人拆了防线就拦构建"；如果文件找不到就跳过，
+   *   那把它挪走（或改个名）就等于关掉了整条检查 —— 比漏报更糟。
+   */
+  if (s === null) {
+    errors.push(
+      `找不到 ${f} —— ${why}` + NL +
+      '     → 这是数据权限的必经之路，被删/被改名了就从 node_modules/node-resource-utils/resources 恢复原名'
+    );
+  } else if (!s.includes(needle)) {
+    errors.push(
+      `${f} 里找不到 ${needle} —— ${why}` + NL +
+      '     → 这是数据权限的必经之路，别删；从 node_modules/node-resource-utils/resources 恢复即可'
+    );
+  }
+}
+
+// 其他业务表：schema 里有 deptId、接口里却没出现 deptScope → 提示（不拦构建）
+const allSchema = readOrNull(SCHEMA) ?? '';
+const deptModels = [];
+for (const m of allSchema.matchAll(/model\s+(\w+)\s*\{([\s\S]*?)\n\}/g)) {
+  if (/\bdeptId\b/.test(m[2])) deptModels.push(m[1]);
+}
+const lowerFirst = (s) => s.charAt(0).toLowerCase() + s.slice(1);
+const routeFiles = [];
+(function walk(dir) {
+  let entries = [];
+  try {
+    entries = readdirSync(dir, { withFileTypes: true });
+  } catch {
+    return;
+  }
+  for (const e of entries) {
+    const p = `${dir}/${e.name}`;
+    if (e.isDirectory()) walk(p);
+    else if (e.name === 'route.ts') routeFiles.push(p);
+  }
+})('src/app/api');
+
+/**
+ * 自助式接口天然不适用"数据范围"：它们按「当前用户自己」或「用户名」定位单条记录，
+ * 本来就不该看到别人的行。硬塞 deptScope 反而会把登录、改密、找回密码弄坏。
+ *
+ * 不排除的话，每次 check:config 都会拿这四条误报去劝 AI「给改密接口套部门过滤」——
+ * 本地模型很可能照做，于是所有用户都改不了密码。误报比漏报更危险。
+ */
+const SELF_SERVICE = [
+  /\/api\/auth\//, // 登录 / 忘记密码 / 修改密码
+  /\/api\/account-recovery/, // 未登录状态下的账号找回申诉
+  /\/api\/feedback\/approve/, // 超管专用，本身就是最高权限
+];
+
+for (const rf of routeFiles) {
+  if (rf.includes('/import')) continue; // 导入只写不读列表，不算数据出口
+  if (SELF_SERVICE.some((re) => re.test(rf))) continue;
+  const src = readOrNull(rf) ?? '';
+  if (!src || src.includes('deptScope')) continue;
+  const hit = deptModels.filter((mo) => new RegExp(`prisma\\.${lowerFirst(mo)}\\b`).test(src));
+  if (hit.length) {
+    warnings.push(
+      `${rf} 访问了带部门的表（${hit.join(' / ')}）却没套 deptScope —— 普通账号可能读到别人的数据` + NL +
+      '        → 列表 / 导出 / 详情接口都在筛选之后 Object.assign(where, deptScope(user))'
+    );
+  }
+}
+
+/* ============================ 3.6 侧边栏徽标（红点不能挂空） ============================ */
+
+/**
+ * 为什么查这个：菜单上的 badgeKey 是一条**字符串配置**，写错了不会报编译错误，
+ * 也不会报运行时错误 —— 只会安安静静地不显示红点。
+ * 而"待办提示不亮"是最难被发现的故障：没人会怀疑它，只会以为今天没活。
+ *
+ * 两个方向都要闭合：
+ *   - 登记了计数源（badges.ts）却没写计数器 → 红点永远是 0
+ *   - 写了计数器却忘了登记 → 菜单管理里根本选不到，等于白写
+ */
+const BADGES_LIB = 'src/lib/badges.ts';
+const BADGE_COUNT = 'src/lib/badge-count.ts';
+
+const badgesSrc = readOrNull(BADGES_LIB);
+const badgeCountSrc = readOrNull(BADGE_COUNT);
+
+if (!badgesSrc || !badgeCountSrc) {
+  errors.push(
+    `侧边栏徽标机制缺失（${BADGES_LIB} / ${BADGE_COUNT}）` + NL +
+    '        → 从基础项目里删掉这两个文件之前，先确认没有菜单在用 badgeKey'
+  );
+} else {
+  // BADGE_SOURCES 里登记过的（这个文件里 key: 'x' 只出现在源定义中）
+  const declared = [...badgesSrc.matchAll(/key:[ \t]*'([^']+)'/g)].map((m) => m[1]);
+
+  // COUNTERS 段里实现的（截到 ACKERS 之前，别把已读处理器算成计数器）
+  const cStart = badgeCountSrc.indexOf('const COUNTERS');
+  const aStart = badgeCountSrc.indexOf('const ACKERS');
+  const countersBlock =
+    cStart >= 0 ? badgeCountSrc.slice(cStart, aStart > cStart ? aStart : undefined) : '';
+  const implemented = [...countersBlock.matchAll(/^\s*'([^']+)':\s*async/mg)].map((m) => m[1]);
+
+  for (const k of declared) {
+    if (!implemented.includes(k)) {
+      errors.push(
+        `徽标计数源「${k}」在 ${BADGES_LIB} 里登记了，但 ${BADGE_COUNT} 的 COUNTERS 里没有实现` + NL +
+        '        → 菜单上挂着它也不会亮。补一个计数器，或从 BADGE_SOURCES 里删掉'
+      );
+    }
+  }
+  for (const k of implemented) {
+    if (!declared.includes(k)) {
+      errors.push(
+        `徽标计数器「${k}」没有在 ${BADGES_LIB} 的 BADGE_SOURCES 里登记` + NL +
+        '        → 菜单管理里选不到这个源，等于白写'
+      );
+    }
+  }
+}
+
+/* ============================ 3.7 外观底座（皮肤 / 字号） ============================ */
+
+/**
+ * 外观是"全站能力"，不是某个页面的装饰：三套皮肤 + 四档字号由
+ * `lib/appearance.ts`（token）、`lib/skin-theme.ts`（antd 主题）、
+ * `components/appearance/*`（面板与状态）三块撑起来。
+ *
+ * 为什么放在硬检查里：换题目后 AI 重写业务页面完全正常，但很容易顺手把
+ * 「看起来没用」的外观面板、顶栏入口、根布局里的样式注入删掉 ——
+ * 删了不会报编译错误，只会让"外观设置"这个功能凭空消失，
+ * 而且换皮肤后页面还在用写死的 #fff / 13px，看起来像做了一半。
+ *
+ * 只查"基础项目还在、接线没断"，不限制业务；新增皮肤只需改 SKINS。
+ */
+const APPEARANCE_PARTS = [
+  ['src/lib/appearance.ts', 'SKINS', '皮肤与字号的唯一来源'],
+  ['src/lib/skin-theme.ts', 'buildSkinTheme', '皮肤 → antd 主题的编译器'],
+  ['src/components/appearance/AppearanceProvider.tsx', 'useAppearance', '外观状态（含 antd 主题重算）'],
+  ['src/components/appearance/AppearanceDrawer.tsx', 'SKIN_LIST', '设置面板本体'],
+];
+
+for (const [file, needle, why] of APPEARANCE_PARTS) {
+  const src = readOrNull(file);
+  if (!src) {
+    errors.push(
+      `外观底座缺少 ${file}（${why}）` + NL +
+      '     → 它是自带能力，被误删了从 node_modules/node-resource-utils/resources 恢复；业务页面不该依赖它的具体实现'
+    );
+  } else if (!src.includes(needle)) {
+    errors.push(`${file} 里找不到 ${needle} —— ${why}被改坏了`);
+  }
+}
+
+const shellForAppearance = readOrNull(ADMIN_SHELL) ?? '';
+if (shellForAppearance && !/appearance-entry|openPanel/.test(shellForAppearance)) {
+  errors.push(
+    `${ADMIN_SHELL} 里没有外观设置入口（appearance-entry / openPanel）` + NL +
+    '     → 面板还在但用户点不进去，等于没做；顶栏调色板图标或头像菜单都行'
+  );
+}
+
+const providersSrc = readOrNull('src/components/Providers.tsx') ?? '';
+if (providersSrc && !/AppearanceProvider/.test(providersSrc)) {
+  errors.push(
+    'src/components/Providers.tsx 没有挂 AppearanceProvider' + NL +
+    '     → 页面里的 var(--wb-*) 还在变，但 antd 组件不会跟着换皮肤'
+  );
+}
+
+const layoutSrc = readOrNull('src/app/layout.tsx') ?? '';
+if (layoutSrc && !/buildAppearanceCss/.test(layoutSrc)) {
+  errors.push(
+    'src/app/layout.tsx 没有注入外观 CSS（buildAppearanceCss）' + NL +
+    '     → 首屏拿不到 --wb-* 变量，未设置过的皮肤会整站掉色'
+  );
+}
+
+/* ============================ 4. 输出 ============================ */
+
+if (errors.length) {
+  console.error('\n✗ 系统还没按题目配置（构建已中止）\n');
+  errors.forEach((e, i) => console.error(`  ${i + 1}) ${e}\n`));
+  console.error('  改完再跑一次：npm run check:config');
+  console.error(`  涉及文件：${APPINFO} / ${ONTOLOGY} / ${SCHEMA} / ${DEPT_PAGE} / ${SEED} / ${FEATURES_FILE}\n`);
+  if (warnings.length) {
+    console.error('  另外还有几条"可能漏配"的提示（不阻塞构建）：');
+    warnings.forEach((w) => console.error(`    · ${w}`));
+    console.error('');
+  }
+  process.exit(1);
+}
+
+if (warnings.length) {
+  console.log('\n提示：还有几条配置不完整（不影响构建，但会缺能力）：');
+  warnings.forEach((w) => console.log(`  · ${w}`));
+  console.log('  关系类问题跑 npm run relations 看完整报告与可粘贴片段\n');
+}
+
+console.log('✓ 系统配置检查通过（系统身份 + 知识图谱本体 + 部门管理 + AI 工具层 + 全局搜索 + 数据权限 + 视图内关系覆盖 + 侧边栏徽标 + 外观底座）');