admin/prop-ai-hr
1
0
Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity

docs(brd): record dashboard access audit

Browse Source
This commit is contained in:
admin
2026-07-14 08:51:01 +08:00
parent 7522794d8b
commit 218e47108d
1 changed files with 1 additions and 0 deletions
Download Patch File Download Diff File Expand all files Collapse all files
docs/BRD_IMPLEMENTATION_AUDIT.md
+1
View File
@@ -126,3 +126,4 @@
- 2026-07-14 G3 面试数据权限复核：发现 `/api/recruit/interview/records` 对普通后台登录用户只要求登录，可能读取当前租户全部候选人面试记录；现改为后台系统用户必须具备 `superadmin` 或 `hr_operator`，APP 候选人仍强制绑定本人手机号查询。新增源码契约测试，AIHR 全量测试 `56/56`、脚本语法和空白检查通过，修复提交为 `13e5545c`，尚未发布生产。
- 2026-07-14 G3 案例写入权限复核：发现案例上传、整理和标注入口对任意已登录后台系统用户放行，与 BRD 的 HR/主管/项目负责人边界不一致；现收紧为 `superadmin`/`hr_operator`，APP 用户继续通过组织快照中的主管/项目经理身份校验。新增源码契约测试，AIHR 全量测试 `57/57`、脚本语法和空白检查通过，修复提交为 `a728904a`，尚未发布生产。
- 2026-07-14 G3 案例读取权限复核：发现案例列表和详情对任意已登录后台系统用户返回当前租户数据，存在普通后台账号横向读取案例资产的风险；现收紧为 `superadmin`/`hr_operator`，APP 用户保留登录后的项目范围读取。新增源码契约测试，AIHR 全量测试 `57/57`、脚本语法和空白检查通过，修复提交为 `b0d24970`，尚未发布生产。
- 2026-07-14 G3 驾驶舱权限复核：发现管理驾驶舱只要求登录，APP 用户或普通后台账号理论上可读取当前租户的组织、训练、知识库、案例和候选人汇总；现收紧为 `superadmin`/`hr_operator`，主管团队数据继续走移动端项目范围接口。新增源码契约测试，AIHR 全量测试 `58/58`、脚本语法和空白检查通过，修复提交为 `7522794d`，尚未发布生产。