MiFaZhan
31 lines
3.0 KiB
Markdown
31 lines
3.0 KiB
Markdown
# 角色权限异步同步
|
|
|
|
当前 v1.0.4 实现采用现有 RabbitMQ 队列 iotlcm.agent.role.sync，不新增任务表或权限版本表。业务规则以《代理角色模板与机构权限上限》为准。
|
|
|
|
## 保存与消费
|
|
|
|
1. 后台在数据库事务中保存角色及菜单，事务内禁止发布消息。
|
|
2. 提交后识别系统参数指定模板；模板不要求 is_pass=1。配置模板时，非模板角色不发布覆盖下级权限的任务。
|
|
3. 消息含任务标识、来源角色、来源机构、租户、操作者及模板标记，不携带菜单旧快照。
|
|
4. 后台使用发布确认；发布失败返回明确的“角色已保存、下发失败”错误，重新保存可补偿。
|
|
提交后的入队使用保留身份上下文但不继承请求取消的独立超时，最长十五秒，发布确认仍最多等待十秒；错误附带任务 ID，便于排查。此处理不等同于事务发件箱，进程退出仍可能造成提交与发布之间的消息丢失。
|
|
5. 独立 Worker 消费时读取当前模板、菜单和机构关系。配置已切换的模板任务，以及配置模板后的历史本地下发任务标记为 superseded，不按普通角色继续传播。
|
|
6. 平台模板按父先子后同步整棵企业下级树；每家企业独立事务，锁定目标机构、默认角色、模板参数及模板角色并再次校验。
|
|
7. 只更新有效的默认继承角色；不改用户角色绑定，不替下级普通角色增加勾选，不自动补齐缺失默认角色。
|
|
|
|
## 失败与重试
|
|
|
|
单家失败不阻塞其他分支；失败父机构的下级也计入失败，不能绕过父级。消息保存失败机构 ID 和统计，重试只处理失败目标。目标离开模板机构树后不能被静默算作成功。
|
|
|
|
消费者失败后延迟重试，最多重试五次，之后发布死信。重试或死信发布失败不能确认原消息。无效 JSON 和无效来源消息隔离到死信队列，隔离发布失败则原消息不能确认。
|
|
|
|
幂等同步保留角色 ID，重复消息读取当前配置，不恢复旧快照。但没有数据库任务表、事务发件箱或分布式租约，不能保证提交与发布原子性，也不保证任务持久化查询及人工重试页面。需要通过日志、消息队列与重新保存进行排查补偿。
|
|
|
|
## 本地验证
|
|
|
|
后台回归使用 SQLite 隔离数据库，覆盖模板异常与管理员登录、普通角色保存、操作员授权边界、默认角色异常、各级代理创建权限来源及提交后入队。
|
|
|
|
Worker 回归覆盖多层新增、撤权、模板切换、普通角色和账号绑定保留、失败父子分支重试、跨租户隔离、机构循环及重试目标迁出。
|
|
|
|
不应直接运行连接实际数据库的写入测试。密码修改回归已改为独立 SQLite 内存数据库及合成用户，不使用全局默认数据库、不读写真实账号，也不再提供环境变量开启真实库写入的入口。此前被修改账号的密码仍须管理员主动重置，测试隔离不能恢复原密码。
|