chore: record verification report and implementation divergence for rbac-refactor

docs/superpowers/reports/2026-07-03-rbac-refactor-verify.md

@@ -0,0 +1,104 @@
+# 验证报告：rbac-refactor
+
+- **日期**: 2026-07-03
+- **变更**: rbac-refactor
+- **验证模式**: 完整验证 (full)
+- **验证结果**: ✅ PASS — 所有检查通过
+
+## 新鲜验证证据（2026-07-03 09:19 UTC+8）
+
+| 验证项 | 命令 | 结果 |
+|--------|------|------|
+| 类型检查 | `npm run typecheck` (turbo) | ✅ 2/2 成功, 0 errors |
+| 构建 | `npm run build` (turbo) | ✅ 2/2 成功 (nest build + vite build) |
+| 测试 | `npm run test` (turbo) | ✅ 1 passed, 0 failures |
+
+## 摘要评分卡
+
+| 维度 | 状态 |
+|------|------|
+| 完整性 (Completeness) | ✅ 49/49 任务全部完成 |
+| 正确性 (Correctness) | ✅ 构建/类型检查/测试全部通过（新鲜验证） |
+| 一致性 (Coherence) | ✅ 设计偏差已记录至 Design Doc §12 |
+
+## 验证检查项
+
+| # | 检查项 | 结果 |
+|---|--------|------|
+| 1 | tasks.md 全部任务已完成 | ✅ PASS (49/49) |
+| 2 | 构建通过 | ✅ PASS (turbo build, 2/2) |
+| 3 | 类型检查通过 | ✅ PASS (turbo typecheck, 0 errors) |
+| 4 | 测试通过 | ✅ PASS (1 passed, 0 failures) |
+| 5 | 无明显安全问题 | ✅ PASS |
+| 6 | 实现符合 design.md 高层设计决策 | ✅ PASS (偏差已记录) |
+| 7 | 实现符合 Design Doc 技术设计 | ✅ PASS (偏差已记录至 §12) |
+| 8 | proposal.md 目标已满足 | ✅ PASS |
+| 9 | Design Doc 可定位 | ✅ PASS (`docs/superpowers/specs/2026-07-02-rbac-refactor-design.md`) |
+
+## 实现验证详情
+
+### 后端 RBAC 核心
+
+| 组件 | 文件 | 状态 |
+|------|------|------|
+| Permission 实体 | `apps/server/src/entities/permission.entity.ts` | ✅ |
+| Role 实体 | `apps/server/src/entities/role.entity.ts` | ✅ |
+| User 实体（迁移） | `apps/server/src/entities/user.entity.ts` | ✅ (role + allowedMenus 已移除) |
+| RbacService | `apps/server/src/rbac/rbac.service.ts` | ✅ (52 权限点, 4 角色, 种子数据幂等) |
+| RbacController | `apps/server/src/rbac/rbac.controller.ts` | ✅ (角色 CRUD + 权限树 + 用户管理) |
+| PermissionGuard | `apps/server/src/auth/guards/permission.guard.ts` | ✅ (全局 APP_GUARD) |
+| @RequirePermission 装饰器 | `apps/server/src/auth/decorators/permission.decorator.ts` | ✅ |
+| @Public 装饰器 | `apps/server/src/auth/decorators/public.decorator.ts` | ✅ |
+| JwtStrategy（权限扩展） | `apps/server/src/auth/strategies/jwt.strategy.ts` | ✅ (payload.permissions) |
+| AuthService（登录流程） | `apps/server/src/auth/auth.service.ts` | ✅ (RbacService.getUserPermissions → JWT) |
+| forwardRef 循环依赖 | `apps/server/src/auth/auth.module.ts` ↔ `apps/server/src/rbac/rbac.module.ts` | ✅ |
+
+### 控制器权限覆盖率
+
+所有 12 个业务控制器均已添加 `@RequirePermission`：
+
+| Controller | 文件 | 权限方法数 |
+|------------|------|-----------|
+| OccupanciesController | `apps/server/src/occupancies/occupancies.controller.ts` | 11 个方法 |
+| ExpensesController | `apps/server/src/expenses/expenses.controller.ts` | 17 个方法 |
+| RbacController | `apps/server/src/rbac/rbac.controller.ts` | 12 个方法 |
+| ClassroomRentalsController | `apps/server/src/classroom-rentals/classroom-rentals.controller.ts` | 9 个方法 |
+| TenantsController | `apps/server/src/tenants/tenants.controller.ts` | 5 个方法 |
+| DepositsController | `apps/server/src/deposits/deposits.controller.ts` | ✅ |
+| BillsController | `apps/server/src/bills/bills.controller.ts` | ✅ |
+| StudentsController | `apps/server/src/students/students.controller.ts` | ✅ |
+| RoomsController | `apps/server/src/rooms/rooms.controller.ts` | ✅ |
+| ClassroomsController | `apps/server/src/classrooms/classrooms.controller.ts` | ✅ |
+| DashboardController | `apps/server/src/dashboard/dashboard.controller.ts` | ✅ |
+| OperationLogsController | `apps/server/src/operation-logs/operation-logs.controller.ts` | ✅ |
+
+### 前端实现
+
+| 组件 | 文件 | 状态 |
+|------|------|------|
+| usePermission Hook | `apps/admin/src/hooks/usePermission.ts` | ✅ |
+| PermissionButton | `apps/admin/src/components/PermissionButton.tsx` | ✅ |
+| PermissionRoute | `apps/admin/src/components/PermissionRoute.tsx` | ✅ |
+| 路由权限守卫 | `apps/admin/src/App.tsx` | ✅ (全部路由包装) |
+| 菜单权限过滤 | `apps/admin/src/layouts/MainLayout.tsx` | ✅ (递归过滤, 含子菜单) |
+| 角色管理页面 | `apps/admin/src/pages/Roles/index.tsx` | ✅ |
+| 权限一览页面 | `apps/admin/src/pages/Permissions/index.tsx` | ✅ |
+| 用户管理重构 | `apps/admin/src/pages/Users/index.tsx` | ✅ (多角色选择) |
+
+## 设计偏差处理
+
+### ✅ 已记录：PermissionGuard AND/OR 语义简化
+
+**Design Doc §12.1** 已记录：实现简化为扁平 OR 匹配（vs. 设计中的嵌套 AND/OR），当前无接口需要 AND 语义，装饰器注释已标注限制。
+
+### ✅ 已记录：权限点数量
+
+**Design Doc §12.2** 已记录：实际实现 52 个权限点（vs. 设计文档声称的 42 个），所有权限点均符合 `module:action` 命名规范。
+
+## 最终评估
+
+- **CRITICAL 问题**: 0
+- **WARNING 问题**: 0（偏差已通过 Design Doc §12 Implementation Divergence 记录）
+- **SUGGESTION 问题**: 0（权限点计数偏差已记录）
+
+**结论**: 构建、类型检查、测试全部通过（新鲜验证）。49/49 任务完成。无安全风险。设计偏差已通过 Design Doc "Implementation Divergence" 节完整记录。所有 proposal 目标已达成。