fix(aihr): restrict supervisor mobile access

backend/ruoyi-modules/ruoyi-aihr/src/main/java/org/dromara/aihr/controller/AihrMobileController.java

@@ -1,6 +1,7 @@
 package org.dromara.aihr.controller;
 
 import cn.dev33.satoken.annotation.SaIgnore;
+import cn.dev33.satoken.stp.StpUtil;
 import jakarta.servlet.http.HttpServletResponse;
 import lombok.RequiredArgsConstructor;
 import org.dromara.aihr.domain.AihrPracticeDto.AnnotationResponse;
@@ -25,6 +26,8 @@ import org.dromara.aihr.service.AihrMobileSeedService;
 import org.dromara.common.core.domain.R;
 import org.dromara.common.core.domain.model.LoginUser;
 import org.dromara.common.core.enums.UserType;
+import org.dromara.common.core.constant.TenantConstants;
+import org.dromara.common.core.exception.ServiceException;
 import org.dromara.common.satoken.utils.LoginHelper;
 import org.dromara.system.service.ISysOssService;
 import org.springframework.web.bind.annotation.GetMapping;
@@ -196,6 +199,9 @@ public class AihrMobileController {
     private String supervisorScopeExtPartyId() {
         LoginUser loginUser = LoginHelper.getLoginUser();
         if (loginUser != null && UserType.SYS_USER.getUserType().equals(loginUser.getUserType())) {
+            if (!StpUtil.hasRoleOr(TenantConstants.SUPER_ADMIN_ROLE_KEY, "hr_operator")) {
+                throw new ServiceException("无主管权限，无法访问主管功能");
+            }
             return "";
         }
         return mobileSeedService.requireSupervisorIdentity(currentAppUsername());

backend/ruoyi-modules/ruoyi-aihr/src/test/java/org/dromara/aihr/service/AihrPracticeSeedServiceTest.java

@@ -360,6 +360,7 @@ public class AihrPracticeSeedServiceTest {
         assertTrue(controllerSource.contains("private String supervisorScopeExtPartyId()"));
         assertTrue(controllerSource.contains("mobileSeedService.requireSupervisorIdentity(currentAppUsername())"));
         assertTrue(controllerSource.contains("UserType.SYS_USER.getUserType().equals(loginUser.getUserType())"));
+        assertTrue(controllerSource.contains("StpUtil.hasRoleOr(TenantConstants.SUPER_ADMIN_ROLE_KEY, \"hr_operator\")"));
         assertFalse(controllerSource.contains("private static String supervisorScopeExtPartyId()"));
         assertFalse(controllerSource.contains("supervisor H5 keeps team-scope"));
     }

docs/BRD_IMPLEMENTATION_AUDIT.md

@@ -108,6 +108,7 @@
 - 2026-07-14 发布前检查补齐：新增只读 `scripts/release-preflight.sh`，统一核验当前 commit、管理端/H5/后端产物存在性、入口 JS 和 SHA-256；传入 `RELEASE_REMOTE_URL` 时只做公开根站点与租户列表 HTTP 检查，不执行 SSH、rsync、服务重启或生产写入。`docs/DEV_SETUP.md` 已同步发布证据与回滚留痕要求。
 - 2026-07-14 BRD 公开导航回归：`GET /api/knowledge/position-sop` 明确是一期生活顾问学习导航摘要，不返回个人或项目私有数据；控制器补 `@SaIgnore` 后匿名请求返回 `200`，而同一控制器的 `POST /api/knowledge/search` 仍返回业务 `401`，保持“公开只读导航、登录后查询与反馈”的边界。同步完成跨租户异步上传成功路径回归：codex-a/codex-b 各上传独立文件并加工为 `status=2`，互查批次均为空；临时租户、用户、队列、知识库、OSS 与暂存文件已清理。
 - 2026-07-14 BRD G3 仪表盘权限收口：`/api/aihr/dashboard/overview` 返回组织、训练、知识库、案例和候选资料统计，控制器新增显式 `@SaCheckLogin`；匿名请求业务返回 `401`，同时保留服务层按当前租户过滤。后续正式主管可见范围仍需组织快照和项目权限数据支撑。
+- 2026-07-14 BRD G3 主管接口权限复核：移动端主管/团队/预警/派题/复盘接口对后台系统用户现在要求 `superadmin` 或 `hr_operator` 角色；APP 用户仍要求组织快照中的主管/项目经理身份。新增源码契约测试与 `demo-check` marker，避免普通后台账号越权读取团队训练数据或创建派题。
 - 2026-07-14 BRD G5 边界复核：BRD 将“情绪疏导树洞”列为生产前隐私闸门，但一期历史方案又明确标注为一期不做；当前代码没有树洞入口、独立数据隔离或“不留痕/不进训练集”证明。该项不能用陪练情绪识别、红线纠偏或满意度意见替代，后续需业务/法务/安全先确认是否纳入当前阶段，再决定设计与实现。
 - 2026-07-14 只读发布前复核：生产根站点、`/h5/`、租户列表和员工首页 API 均返回 200；当前本地提交 `8105413d` 的管理端主资源 `index-BWnisJoz.js` 与后端 jar 尚未与生产资源/hash 对齐，H5 仍与生产 `index-D4-NrEpb.js` 一致。本轮未发布、未修改生产数据；后续若发布管理端 OCR 状态修正或后端批次，必须重新执行备份、资源 hash、服务状态和浏览器回归。
 - 2026-07-14 线上资源复核更新：生产管理端仍加载 `index-CJZ3Ax3Z.js`（SHA-256 `8b9278a26ccb760abce489b12a20b221748c64d4c4153613d2511777bb9677bc`），当前本地管理端构建加载 `index-CIgkCgjC.js`（SHA-256 `f0e9bca71dc2ee484745f0d4058079c54f493cf0be51bfe279f1da64dd62dcfd`）；两者不一致。生产主资源已包含既有“提示词模板”能力，但不能据此证明本地最新成长激励/资料处理修复已上线。

scripts/demo-check.sh

@@ -430,6 +430,7 @@ contains backend/ruoyi-modules/ruoyi-aihr/src/main/java/org/dromara/aihr/service
 contains backend/ruoyi-modules/ruoyi-aihr/src/main/java/org/dromara/aihr/service/AihrSpeechService.java "Duration.ofSeconds(5)"
 contains backend/ruoyi-modules/ruoyi-aihr/src/main/java/org/dromara/aihr/service/AihrMobileSeedService.java "待复盘对练"
 contains backend/ruoyi-modules/ruoyi-aihr/src/main/java/org/dromara/aihr/controller/AihrMobileController.java "/practice/reviews"
+contains backend/ruoyi-modules/ruoyi-aihr/src/main/java/org/dromara/aihr/controller/AihrMobileController.java "StpUtil.hasRoleOr(TenantConstants.SUPER_ADMIN_ROLE_KEY, \"hr_operator\")"
 contains mobile-uni/src/pages/supervisor/review/index.vue "人工贡献分"
 contains backend/ruoyi-modules/ruoyi-aihr/src/main/java/org/dromara/aihr/controller/AihrMobileController.java "/practice/reviews/{id}/reviewed"
 contains mobile-uni/src/pages/supervisor/review/index.vue "标记已复盘"