openxiangda 2.69.0 → 2.70.0

package/releases/2.67.1.json

@@ -0,0 +1,35 @@
+{
+  "schemaVersion": "openxiangda.release-notes/v1",
+  "version": "2.67.1",
+  "status": "reviewed",
+  "title": "应用Agent及worker声明与发行恢复修复",
+  "summary": "新增作用域内应用Agent客户端，并补齐事件worker编译上下文及节点条件配置契约。",
+  "newFeatures": [
+    "公开openxiangda/agent客户端与hooks，沿用平台当前身份和持久游标，未知写入不自动重放。"
+  ],
+  "fixes": [
+    "worker-effect编译传入显式emitEventTypes与实际工作流subject，避免合法声明被误拒绝。",
+    "配置类型公开worker-effect执行声明，避免应用使用类型绕过。",
+    "共享节点人员配置支持完整条件规则与权威来源边界。",
+    "声明warning保持警告，真正错误仍阻断，避免正确应用被误拒绝。",
+    "Git worktree发行计划、验证与发布共用冻结制品、回执和进程锁；发现旧私有回执时先恢复原状态。"
+  ],
+  "affectedUsers": [
+    "OpenXiangda V2应用开发者和平台维护者"
+  ],
+  "upgradeSteps": [
+    "按同批版本升级工具链，重新生成并检查应用契约。",
+    "配套升级平台共享契约后验证TEST，真实角色验收独立执行。"
+  ],
+  "knownLimitations": [
+    "事件至少一次投递，依赖原业务意图和平台回执去重。",
+    "工具链发布不代表学校平台部署或应用业务验收完成。"
+  ],
+  "compatibility": {
+    "node": ">=24",
+    "pnpm": "10.15.1"
+  },
+  "issues": [],
+  "sha256": "cab78d0c354ccfe6373966f884c475e4e50e0096a5cbe9763fce2a761ba99e99",
+  "url": "https://github.com/1377385356/openxiangda/releases/tag/v2.67.1"
+}

package/releases/2.67.2.json

@@ -0,0 +1,34 @@
+{
+  "schemaVersion": "openxiangda.release-notes/v1",
+  "version": "2.67.2",
+  "status": "reviewed",
+  "title": "读取范围能力交集与开发诊断修复",
+  "summary": "所选读取范围严格收窄当前身份能力，并补充原执行健康、托管文件语义及设计资料预算诊断。",
+  "newFeatures": [
+    "应用自助操作提供原执行健康和托管文件语义观察，沿用当前身份与原请求。"
+  ],
+  "fixes": [
+    "Perspective读取能力与当前身份能力取交集，避免有限角色选择其他角色的完整管理投影。",
+    "AppSpec记录实际读取字节和省略原因，保留现有确认及部署门禁，不将超预算资料误判为不存在。",
+    "工作区加载及封包的声明warning不再误当error阻断，真实错误继续拒绝。",
+    "发行元数据读取保留有界并发和原渠道状态；CLI模板与根SDK版本配套。"
+  ],
+  "affectedUsers": [
+    "使用多角色读取范围的V2应用开发者及平台维护者"
+  ],
+  "upgradeSteps": [
+    "通过官方精确根包版本安装整组工具链，检查当前平台兼容性后重新部署TEST。",
+    "使用有限角色、兼任角色及撤销授权场景核对页面投影；实际业务验收独立于发包。"
+  ],
+  "knownLimitations": [
+    "源码回归不证明学校身份同步、通知通道、定时任务或完整迁移已验收。",
+    "读取范围不改变写入和业务动作授权，Native后端继续独立执行字段与行权限。"
+  ],
+  "compatibility": {
+    "node": ">=24",
+    "pnpm": "10.15.1"
+  },
+  "issues": [],
+  "sha256": "a6d7741c59762468ee23815832c0d707166bc60ca7913dabd4f945d6cf84ac20",
+  "url": "https://github.com/1377385356/openxiangda/releases/tag/v2.67.2"
+}

package/releases/2.68.2.json

@@ -0,0 +1,33 @@
+{
+  "schemaVersion": "openxiangda.release-notes/v1",
+  "version": "2.68.2",
+  "status": "reviewed",
+  "title": "固定公开单选过滤的编译一致性修复",
+  "summary": "允许对 option.single 单选字段声明固定公开 eq 条件，保持平台强制过滤和字段白名单。",
+  "newFeatures": [],
+  "fixes": [
+    "修复是否开放、发布状态等单选字段被应用与 Native 编译器错误拒绝的问题。",
+    "单选值只接受字符串或 null，拒绝数组、对象、数值和布尔；多选、附件、人员及资源引用仍不接受。"
+  ],
+  "affectedUsers": [
+    "通过 frontend.publicAccess 发布带开放/发布状态条件的公开目录应用。"
+  ],
+  "upgradeSteps": [
+    "应用升级精确 openxiangda 2.68.2 并重新 check；不修改已安装编译器或生成输出。",
+    "平台同步官方 openxiangda-contracts 2.88.1 编译器后再部署含此条件的应用；运行时过滤仍由平台负责。"
+  ],
+  "knownLimitations": [
+    "仍只允许固定 eq 条件；不开放匿名任意筛选、排序或普通 Native Data API。",
+    "包与平台发布不代表学校浏览器、真实角色或通知验收完成。"
+  ],
+  "compatibility": {
+    "node": "Node.js 24 or newer for maintained toolchain",
+    "generation": "OpenXiangda V2; V1 unchanged",
+    "platform": "Native compiler openxiangda-contracts 2.88.1; server option JSON equality already implemented"
+  },
+  "issues": [
+    "PLT-068"
+  ],
+  "sha256": "122b83c8aa1540c4e97ba7b4700618a03ff86585848f3f9f5626475ad13b7a8d",
+  "url": "https://github.com/1377385356/openxiangda/releases/tag/v2.68.2"
+}

package/releases/2.70.0.json

@@ -0,0 +1,35 @@
+{
+  "schemaVersion": "openxiangda.release-notes/v1",
+  "version": "2.70.0",
+  "status": "reviewed",
+  "title": "组织角色与业务记录归属边界",
+  "summary": "应用可声明平台目录角色映射、self/subtree 组织范围及 Native 记录组织归属，由配套平台统一执行身份与数据授权。",
+  "newFeatures": [
+    "角色显式声明 organizationReach；directoryRoleSources 将可信平台目录事实映射为当前组织内的应用角色和班级等字符串范围。",
+    "Native 资源声明 none、owned 或 inherited-down 组织策略；组织归属元数据可用于有界读取和统计，业务输入不能更改归属。",
+    "编译器共同校验组织角色、来源范围和资源策略，自动协商 authz.organizations、authz.directory-roles 与 data.organizations 能力。"
+  ],
+  "fixes": [
+    "隔离 CLI 候选构建保留固定 Corepack 缓存，嵌套源码构建并发上限为两个任务；保留真实依赖安装和端到端检查。"
+  ],
+  "affectedUsers": [
+    "使用多组织、教育局与独立学校或平台家校目录的 OpenXiangda V2 应用；已有未声明组织策略的应用保持原授权语义。"
+  ],
+  "upgradeSteps": [
+    "安装精确 openxiangda 2.70.0 官方组合并刷新项目资料，检查生成契约及能力要求。",
+    "平台配套正式 contracts、组织角色投影服务与新增 SQL 后再启用组织资源；在目标站点验证真实来源、活动成员、安装及角色正反路径。"
+  ],
+  "knownLimitations": [
+    "npm 包发布不代表平台部署、真实组织同步或业务验收；源码和独立 PostgreSQL 测试不能代替现场登录与权限验证。",
+    "普通后台或应用凭据不自动取得组织权限；未声明明确系统动作边界的后台任务不能访问组织资源。",
+    "已有无组织记录不自动推断或回填归属，启用组织策略后不能降级移除边界。"
+  ],
+  "compatibility": {
+    "node": "Node.js 24 or newer for maintained toolchain",
+    "generation": "OpenXiangda V2; V1 unchanged",
+    "platform": "须部署同源 contracts 及组织授权 SQL/后端；组织来源角色限定 self，subtree 授权由合法应用管理员显式管理"
+  },
+  "issues": [],
+  "sha256": "7291b56c3a9c02615075ea5bb9bcf22669b3d19540f5f95173f54589d31a24f8",
+  "url": "https://github.com/1377385356/openxiangda/releases/tag/v2.70.0"
+}

package/skills/manifest.json

@@ -4,7 +4,7 @@
     {
       "name": "openxiangda-v2",
       "description": "使用 OpenXiangda 2.0 从模糊业务想法、已有资料或具体变更出发，通过对话发现模块、完成详细产品设计，由当前 AI Agent 按需用 Image 2.5 等图片能力形成视觉参考，直接实现真实页面并在浏览器修正，再检查和交付应用；维护 1.x 应用时使用对应的 1.x 技能。",
-      "sha256": "e313e22a891e9331e74edf289ea94d8d05b1fa1336a33779a30ccad79a0403e1"
+      "sha256": "d4162da3387da0b32a1ba55c4803d9fd7c5599d6f3edd0fbdf208da2b92e106f"
     }
   ]
 }

package/skills/openxiangda-v2/SKILL.md

@@ -40,10 +40,10 @@ AI 接到新应用、页面或改版任务时，在同一个 OpenXiangda 工作
 未创建工作区时使用本 Skill 随根包发布的精确版本：
 
 ```bash
-pnpm dlx openxiangda@2.69.0 auth status --cwd <应用目录> --base-url <平台地址> --json
-pnpm dlx openxiangda@2.69.0 login --cwd <应用目录> --base-url <平台地址>
-pnpm dlx openxiangda@2.69.0 create <应用目录> --base-url <同一平台地址>
-pnpm dlx openxiangda@2.69.0 skill install --force
+pnpm dlx openxiangda@2.70.0 auth status --cwd <应用目录> --base-url <平台地址> --json
+pnpm dlx openxiangda@2.70.0 login --cwd <应用目录> --base-url <平台地址>
+pnpm dlx openxiangda@2.70.0 create <应用目录> --base-url <同一平台地址>
+pnpm dlx openxiangda@2.70.0 skill install --force
 ```
 
 创建前把产品要求的目标平台明确带入命令，不从旧登录态推断站点。已有工作区从原绑定恢复，平台不一致时先解决登录与目标，不改 link 文件跨站创建。

package/skills/openxiangda-v2/references/data-authz.md

@@ -2,7 +2,7 @@
 
 授权由四层组成：页面/操作 capability、行谓词、字段 read，以及字段 create/update。前端只消费平台返回的最终访问结果来隐藏按钮、只读输入和剔除 payload；平台每次请求重新执行权威校验。
 
-涉及独立企业的上下级组织、跨学校身份或家校班级范围时，先读[多组织与家校目录](multi-organization.md)。平台已有组织/成员/会话基础；V2 角色 reach、目录事实应用映射和组织行边界尚未完整接通，不能将当前普通角色并集、unrestricted 规则或前端 `corpId` 当成自动跨组织授权。
+涉及独立企业的上下级组织、跨学校身份或家校班级范围时，先读[多组织与家校目录](multi-organization.md)。V2 已提供组织角色 reach、目录事实应用映射和组织行归属声明；执行这些边界需要目标平台部署配套 contracts、后端及正式 SQL。普通角色并集、unrestricted 规则或前端 `corpId` 不能自动产生跨组织授权；包发行、站点配套和真实角色验收仍须分别核验。
 
 以下仅以仪器管理应用举例，不是平台默认模型或角色。该示例的行规则是：学校管理员不受行谓词限制；学院管理员按记录 `collegeId` 匹配；仪器管理员按 `instrumentAdminIds` 包含当前用户匹配。不要增加影子范围字段。
 
@@ -247,3 +247,6 @@ SDK复用现有应用CSRF与512条命令绑定缓存，预览到期不会自动
 打印先筛选同一成员同时具备资料read及所有打印能力的资格，再沿原RLS、Perspective、字段读取与脱敏；不能把ALL-read职责和own-print职责合并成ALL-print。普通app-admin与平台超管分别验收。SDK `loadNativeRecordPrint(resourceCode, recordId, { viewCode? })` 只读当前单记录投影；公开 `ResourceRecordPrintPreview` 与生成Native详情中的“打印”入口共用它。字段权限仍使用页面/模型规则，不增加流程节点字段权限配置。
 
 预览显示读取时间、当前详情可见字段和分组。打印前重新读取当前授权数据，失败清除旧预览，身份/授权/Perspective变化和关闭淘汰过期请求。附件/图片只列名称及大小、富文本转安全文本，没有自动外部下载；系统打印取消不写业务资料。当前版本只支持主记录，详情包含可读子表返回409，超2MiB返回413，不静默漏项；专用PDF模板、签章与子表完整打印另行提供。独立权限保护平台的打印接口和标准入口，已读资料的截图/浏览器自行打印不属于可撤销许可。
+
+
+多组织应用使用 `role.organizationReach`、`authz.directoryRoleSources` 与 `resource.organization` 显式声明；来源字符串范围、可信用户组织及数据库行边界共同执行。声明、配套平台版本与目标站点实际启用分别核验。完整字段、上级内容下发、目录派生角色所有权、手工组织授权和限制见[多组织与家校目录](multi-organization.md#authorization)。

package/skills/openxiangda-v2/references/declarations-cheatsheet.md

@@ -222,3 +222,6 @@ image/signature/富文本图片字段在上传计划（initiate）里返回 `max
 省略/false关闭新入口；true绑定资源read，数组引用已有能力，不隐式生成能力。
 同一角色成员须同时满足资源read和全部历史能力，原行权限继续约束旧固定实例；该项独立于Native `audit.read`。
 标准Native详情和公开 `WorkflowRecordHistoryPanel` 可复用，参见[工作流历史](workflow-events.md#record-history-read)。
+
+
+多组织应用使用 `role.organizationReach`、`authz.directoryRoleSources` 与 `resource.organization` 显式声明；来源字符串范围、可信用户组织及数据库行边界共同执行。声明、配套平台版本与目标站点实际启用分别核验。完整字段、上级内容下发、目录派生角色所有权、手工组织授权和限制见[多组织与家校目录](multi-organization.md#authorization)。

package/skills/openxiangda-v2/references/getting-started.md

@@ -68,10 +68,10 @@ MCP 服务随项目根包一起安装，AI 客户端的 stdio 连接仍需配置
 以下命令的版本占位符由随包资料替换为该根包的精确版本。网站源码阅读者应先确认要使用的发行版本。
 
 ```bash
-pnpm dlx openxiangda@2.69.0 skill install --force
-pnpm dlx openxiangda@2.69.0 auth status --base-url <平台地址> --json
-pnpm dlx openxiangda@2.69.0 login --cwd my-app --base-url https://platform.example.com
-pnpm dlx openxiangda@2.69.0 create my-app --base-url https://platform.example.com
+pnpm dlx openxiangda@2.70.0 skill install --force
+pnpm dlx openxiangda@2.70.0 auth status --base-url <平台地址> --json
+pnpm dlx openxiangda@2.70.0 login --cwd my-app --base-url https://platform.example.com
+pnpm dlx openxiangda@2.70.0 create my-app --base-url https://platform.example.com
 cd my-app
 pnpm openxiangda context --json
 pnpm openxiangda dev
@@ -221,9 +221,9 @@ MCP 的 `docs_read` 可以读取本说明，当前没有独立的源码操作 MC
 无需本地工作区，使用本 Skill 随包精确版本或已安装的对应 CLI：
 
 ```bash
-pnpm dlx openxiangda@2.69.0 auth status --base-url <平台> --json
-pnpm dlx openxiangda@2.69.0 source resolve <仓库URL> --base-url <平台> --json
-pnpm dlx openxiangda@2.69.0 source clone <仓库URL> <新目录> --base-url <平台> --json
+pnpm dlx openxiangda@2.70.0 auth status --base-url <平台> --json
+pnpm dlx openxiangda@2.70.0 source resolve <仓库URL> --base-url <平台> --json
+pnpm dlx openxiangda@2.70.0 source clone <仓库URL> <新目录> --base-url <平台> --json
 ```
 
 登录缺失或站点不匹配时，先按该平台执行 login。resolve 根据平台已经登记的绑定返回

package/skills/openxiangda-v2/references/multi-organization.md

@@ -2,7 +2,7 @@
 
 教育局与多所学校各有独立钉钉企业、同一教师属于多个组织、家长的孩子在不同学校时，优先复用平台的组织与身份基础能力。应用不再建立第二份企业组织树、钉钉身份库或学校密钥配置。
 
-本专题描述 2026-10-14 的源码契约基线。组织基础、本人目录角色事实读取和 SDK 组织上下文/切换生命周期已有配套实现；事实到应用角色、组织 reach 与跨组织数据权限仍有接入缺口。目标站点是否部署了这些接口，需现场核实；安装新工具或读到本专题不证明平台已经升级。
+本专题描述 2026-10-14 的源码契约基线。组织基础、本人目录角色事实读取、SDK 组织切换、目录事实到应用角色的投影及 Native 组织行边界已有配套实现。目标站点是否部署了这些接口，需现场核实；安装新工具或读到本专题不证明平台已经升级。
 
 ## AI 识别场景与选择能力 {#scenario}
 
@@ -26,9 +26,9 @@
 | 当前人的可切换组织 | 已有平台会话 HTTP 与 `loadCurrentOrganizationMemberships()` | 读取本人活动成员列表，显示对应企业/学校选项 |
 | 当前工作组织、同会话切换 | 已有平台登录上下文、SDK `activeOrganizationId` 和 `switchCurrentOrganization()` 生命周期 | 在支持本契约的会话中读取/切换；不能从 URL 直接产生授权 |
 | 组织管理授权 | 已实现平台管理员授予人/部门，祖先授权覆盖后代 | 管理操作由平台核验；不能把“教育局成员”当作“全区管理员” |
-| 应用角色 `self` / `subtree` | 传统平台角色 CRUD 能保存 `organizationReach`；V2 声明与执行尚未接通 | 在设计中明确每个角色的组织覆盖意图，不向 V2 config 填入未支持字段 |
-| 家校事实到应用角色、班级范围的消费 | 本人事实 HTTP/SDK 读取已实现；业务角色与班级范围映射尚未接通 | 声明拟使用哪些事实及范围，将接入列为依赖；不能凭空调用 SDK |
-| 组织数据归属、隔离、后代可见与公共内容下发 | Native Data API 的组织边界尚未接通 | 不能宣称已经自动隔离或继承，也不能用前端筛选代替服务端权限 |
+| 应用角色 `self` / `subtree` | V2 声明、组织维度角色绑定和实时 SQL 准入已接通 | 声明每个角色的覆盖意图；旧应用未声明继续沿用原行为 |
+| 家校事实到应用角色、班级范围的消费 | `authz.directoryRoleSources` 由平台投影到应用角色和字符串 scope | 使用真实来源角色事实，目录派生绑定不能手工覆盖；事实退休立即拒绝旧投影 |
+| 组织数据归属、隔离、后代可见与内容下发 | `organization.mode=owned/inherited-down`、不可改归属及 RLS 已实现 | 声明策略并核验目标站点的配套能力，按真实组织角色验收允许和拒绝 |
 | 安装回调、每校自动定时同步、组织通知路由与链接生成 | 尚未完成整条自动接入 | 不假定安装完成后立即能登录，不假定消息自动选中正确安装 |
 
 平台管理组织的授权与应用业务授权是两种事实。能开通学校或查询组织树，不会自动获得该学校的业务数据权限；看到一条成员关系，也不会自动成为应用管理员。
@@ -102,7 +102,7 @@ SDK 通过应用 `/auth/organization/switch-surface` 取得真实浏览器会话
 
 成功、运输结果未知或服务器 5xx 时，SDK 失效旧授权、命令缓存和在途读取，通过 Runtime identity epoch 重读并重建页面。旧学校晚到的响应不会覆盖新学校数据。跨页只发送失效信号，不传身份或凭据；明确 4xx 拒绝保留原授权。切换写入不自动重放；结果未知先读回当前授权，不能把目标名称当成成功。组织切换不选择应用角色，也不是只收窄读取的 Perspective。
 
-完整 V2 role reach 和组织数据策略仍未接通，不能把切换后的角色列表或字段传递当作组织隔离证明。
+角色与数据隔离通过下面的显式声明启用；切换后的角色列表或字段传递仍不能替代实际行权限验收。
 
 ### 管理面接口
 
@@ -129,24 +129,51 @@ SDK 通过应用 `/auth/organization/switch-surface` 取得真实浏览器会话
 
 SDK 使用 `loadCurrentDirectoryRoleFacts({ limit, after, signal })`，返回 `DirectoryRoleFactPage`，包含 organizationId、userId、items、nextCursor。每个 item 包含 id、subjectId、source、roleCode、scopeType、scopeValue。客户端拒绝与当前 identity 不同组织/用户的响应，并在组织变化时丢弃旧读取，不自动拉取全部页面。
 
-读取来源事实不授予应用能力。业务角色、班级范围的可执行声明仍是后续接入项；不能以管理 upsert 或复制应用通讯录替代。
+读取来源事实不授予应用能力。使用下面的 `directoryRoleSources` 声明由平台派生角色及班级范围；不能以管理 upsert 或复制应用通讯录替代。
 
 ## 应用角色与数据边界 {#authorization}
 
-每个应用角色在设计中显式声明组织 reach，具体可执行的 V2 声明仍需后续接通：
+应用通过显式声明启用组织能力；编译器自动生成 `authz.organizations`、`authz.directory-roles` 和 `data.organizations` 的最低能力要求。目标平台不支持时拒绝激活，不能手改生成契约绕过协商。
 
-| reach 意图 | 适用范围 | 例子 |
-| --- | --- | --- |
-| `self` | 授予组织自身 | 学校教师只能在任职学校的业务范围操作 |
-| `subtree` | 授予组织及全部后代 | 获授权的上级管理人员处理被授予组织子树内的业务 |
+```ts
+authz: {
+  roles: [
+    { code: 'teacher', name: '教师', organizationReach: 'self', capabilities: teacherCapabilities },
+    { code: 'bureau', name: '区管理人员', organizationReach: 'subtree', capabilities: bureauCapabilities },
+  ],
+  scopeDimensions: [{ code: 'class', name: '班级', valueType: 'string' }],
+  directoryRoleSources: [{
+    code: 'teachers', name: '家校教师事实', source: 'dingtalk_school_contact',
+    roleFactCode: 'teacher', roleCode: 'teacher', failureMode: 'strict',
+    scopes: [{ dimensionCode: 'class', scopeType: 'class', operations: ['read', 'create', 'update'] }],
+  }],
+},
+data: {
+  resources: [{ code: 'assignments', name: '作业', organization: { mode: 'owned' }, fields: assignmentFields }],
+},
+```
+
+上例省略了应用自己的操作能力与班级行策略定义；`teacherCapabilities`、`bureauCapabilities` 和 `assignmentFields` 是应用变量，并非平台内置对象。班级字段保存真实来源字符串 ID，通过原 dataPolicy 的 `class` 维度核对。来源字符串不能绑定 Native UUID 维度、valueSource、resourceCode 或组织树层级。
+
+| 声明 | 语义 |
+| --- | --- |
+| `role.organizationReach = self` | 绑定在授予组织，只在该工作组织生效 |
+| `role.organizationReach = subtree` | 绑定在授予组织，在该组织和活动后代生效；不自动授予操作能力 |
+| `resource.organization.mode = owned` | 创建时记录归属可信工作组织。self 只操作本组织；subtree 可在其获准树内结合行策略操作 |
+| `resource.organization.mode = inherited-down` | 同 owned，额外允许获准角色读取工作组织的祖先内容；下级不能修改祖先内容 |
+| 未声明或 `none` | 沿用原无组织行为，不产生组织隔离 |
+
+角色的操作能力、字段能力、组织 reach 和班级行范围必须在同一条 membership 中成立。不能合并多个组织的班级范围，不能用 subtree 角色的组织范围借用另一角色的班级范围。上级普通成员没有 subtree，共享 unionId 也不合并各校授权。目录映射角色只能 self，不能与 Native roleMembershipSources 争用同一角色。
+
+目录源最多 32 个，每个源最多 16 个 scope；每次当前人、工作组织最多 512 个不同事实。超限、源失效、手工 shadow 冲突和更新锁竞争失败关闭；无变化的投影不更新 membership 或权限版本，也不与当前事务自己的角色锁冲突。目录派生绑定稳定且分组织，原始目录仍只有平台一份。本人读取不返回 raw 或 unionId。没有工作组织时，启用了目录映射的当前授权请求返回 `OPENXIANGDA_CURRENT_USER_ORGANIZATION_REQUIRED`。
 
-这是组织覆盖维度，与某资源的 `read/create/update/delete` 能力、班级 scope、行/字段策略分别组合。`subtree` 不自动授予修改权限；`self` 不是 Data API 的“记录属于当前人”谓词。上级学校/教育局的普通成员不会因层级自动成为管理员；共享 unionId 也不会把一个人在几所学校的权限合并到当前组织。
+手工给非目录角色授权使用现有 Native membership 管理面及 `createNativeRoleMembership`，新增可选 `organizationId`。组织角色必须明确目标，目标用户须是同租户活动安装的活动成员；平台管理员或应用管理员可管理。已有委托管理没有组织覆盖契约，不能扩大为跨校授权。更新不能换组织，目录派生角色的 create/update/revoke 均返回平台所有权拒绝。传统无组织角色不需要该字段。批量 create 也支持组织维度；重复目标以 user/role/organization 核对。
 
-当前传统平台角色 CRUD 能保存 `organizationReach`，不等于 V2 `authz.roles` 已支持此字段。当前权限引擎也没有已接通的“当前工作组织”内置行条件，不存在可使用的 `currentOrganization()` helper。不要手改生成契约、追加虚构 requiredPlatformCapabilities 或把所有学校授予一个 unrestricted 角色来替代组织边界。
+组织归属是平台保留列 `organization_id`，不是业务字段。组织资源的读回提供这一只读 UUID，可在 Data API 的筛选和聚合 dimensions 中按学校分组；写入包含它会被拒绝。传统资源不增加该字段。创建从可信当前用户派生，更新不可修改；历史 NULL 归属不会自动推断或回填，组织资源也不会放行。唯一键按组织分区；父子表需要同样的组织策略，复合外键防止跨组织关联。已启用资源不能通过下一版本移除组织策略来开放历史数据。
 
-组织数据权限还需把工作组织送入可信 Native principal，并执行数据归属、reach 与服务端行边界。在该接入完成前，以下都不能作为已支持行为交付：学校互相隔离；教育局只看/代操作全部下级数据；上级公共内容自动向后代开放。现有 `publicRead` 是已认证用户的公共字段投影，不等于组织树下发；匿名公开访问也不是跨学校共享机制。
+列表、直接 ID、聚合、导出及关联通过同一 Native RLS。命名 Nest 业务动作保留经过验证的当前用户/组织，继续核验短期调用证明、动作能力与同一 membership 的变更前后行范围。业务输入不能填充可信组织；没有当前用户证明的普通 application、后台或定时身份不获得组织资源权限。声明策略不自动授予服务身份全区访问。
 
-应用可以先设计业务模型、页面及明确的业务操作；数据访问仍走已有 Data API 和受支持的 Nest operation。涉及尚未接通的组织授权闭环，记录平台依赖和所需验收，不用前端隐藏、浏览器字段或另一套成员表绕过。
+组织上下文请求实时核对目录与成员，当前暂不使用授权快照缓存。fresh 和事务请求均不读取或保存未提交快照；Head 在准备期间变化要求刷新。安装、成员、账号、主体或事实撤销后，数据库下一条语句即拒绝。源码和独立 PostgreSQL 测试不证明目标站点已经部署，也不代表真实教师/家长验收。
 
 ## 入口、同步与通知的处理边界 {#entry-sync}
 
@@ -158,7 +185,7 @@ SDK 使用 `loadCurrentDirectoryRoleFacts({ limit, after, signal })`，返回 `D
 
 ## 开发前核对与验收 {#verification}
 
-1. 用项目锁定版本的 `context --json` / MCP `workspace_context` 确认平台绑定；用 `docs multi-organization` / `docs_read` 读取同版本正文。文档主题已注册，不代表 `platform_capabilities` 已有新的组织能力 code；当前不能仅凭缺少/出现某个虚构 feature 判断支持。
+1. 用项目锁定版本的 `context --json` / MCP `workspace_context` 确认平台绑定；用 `docs multi-organization` / `docs_read` 读取同版本正文。通过实际 `platform_capabilities` 核对配套声明的能力 code 和最低版本，不能把文档可读当成站点可用。
 2. 确认目标站点的源码/部署版本、正式 SQL 迁移与组织管理授权。资料版本、接口状态和实际启用分别记录；站点缺能力由平台维护者补齐，应用不自行执行迁移或发包。
 3. 在测试组织核实本人成员列表、真实企业名称、活动安装、profile/原始授权组织字段，验证同会话切换与非成员拒绝。不以单次 HTTP 200 代替响应 `code` 和业务事实。
 4. 使用家校角色前，确认平台已经提供可消费的事实读取及映射契约；使用 `self/subtree` 前，确认 V2 声明、可信上下文和服务端数据边界均已实现。未闭合就标记依赖，不能报告自动隔离通过。

package/releases/2.69.0.json

@@ -1,36 +0,0 @@
-{
-  "schemaVersion": "openxiangda.release-notes/v1",
-  "version": "2.69.0",
-  "status": "reviewed",
-  "title": "可信活动组织上下文与匿名记录事件身份配套",
-  "summary": "保留平台选择的可信组织上下文，并修复公开申请事件在Nest处理前被错误拒绝的问题。",
-  "newFeatures": [
-    "浏览器、NativePrincipal和Nest CurrentUser保留可信活动组织；提供当前组织成员、角色事实读取与受同源及CSRF保护的组织切换。"
-  ],
-  "fixes": [
-    "原生记录事件及审计历史接受anonymous_public行为事实；仍拒绝未知身份、空标识和匿名伪造application业务授权。",
-    "组织切换或结果未知时失效旧授权与晚到读取，不将认证token放入应用receipt。"
-  ],
-  "affectedUsers": [
-    "使用公开提交及记录事件订阅的V2应用。",
-    "使用平台可信组织上下文和组织切换的V2应用。"
-  ],
-  "upgradeSteps": [
-    "升级精确openxiangda 2.69.0官方配套，重新生成契约与检查后部署。",
-    "平台使用同一权威SDK提交，组织上下文相关运行能力须使用配套平台；匿名事件恢复使用原delivery而不是重新提交业务。"
-  ],
-  "knownLimitations": [
-    "多组织事实映射及数据权限需平台配套，不代表已有全部应用自动实现组织隔离。",
-    "正式发行不等于学校真实角色、页面、通知或迁移验收通过；不扩大匿名Data API权限。"
-  ],
-  "compatibility": {
-    "node": "Node.js 24 or newer for maintained toolchain",
-    "generation": "OpenXiangda V2; V1 unchanged",
-    "platform": "配套可信活动组织服务端上下文；保留既有签名、manifest、Native授权与公开策略"
-  },
-  "issues": [
-    "PLT-069"
-  ],
-  "sha256": "cbbfb507d34b8dfcbad3e31f4ef5f7e25b5f1b8b47d3aaaa9288ae54b0c973fb",
-  "url": "https://github.com/1377385356/openxiangda/releases/tag/v2.69.0"
-}