eabe70b00a
feat(stocktake): 落地动盘（活跃库位抽盘）与导出盲盘保护
...
【导出收尾】/export-stocktake
会话 active 且 mode=blind 时，汇总表/差异明细/账实相符/未盘点四张 Sheet 的
账面数与差异数一律输出 '—'，实盘数照常输出。会话 finished 后自动解锁 ——
盘点结束后核对差异是正常流程，否则报告本身没法用。
批量替换时误伤了 update_stocktake_quantity 里的差异计算，被静态检查脚本
抓出（会拿占位符 '—' 做减法），已改回按真实账面值计算。
【动盘算法】get_active_locations(company_name, days=30, top_n=50)
近 N 天异动最频繁的库位。出库经 (source_table, stock_id) 回查库存表取库位
（trans_outbound.warehouse_location 历史上 900 条里 829 条为空，实测回查
覆盖率 298/299）；入库以库存表自身的 in_date / production_date 计时；
借出用 trans_borrow.location。报废/维修表无库位字段，未纳入。
【范围冻结】/draft/start-new
移除 scope_type=active 的 400 拦截，改为在开单时算出活跃库位并**冻结**进
scope_config。必须开单时算好 —— 若各接口实时计算，两次调用之间活跃度变化
会导致范围漂移，结束盘点时把已掉出范围的库存误判成盘亏。
【同源过滤】all-items / merged-list / generate-missing
三者都读同一份冻结的 scope_config。generate-missing 是重中之重：漏盘比对
只针对范围内库存，绝不把范围外未盘库存标成盘亏。
merged-list 一并加了过滤（原指令未提），否则抽屉仍会列出范围外物资，
与「总品项」对不上。
【前端】移除「活跃库位抽盘」的 disabled。
实测（IRIS，全仓 1126 → 抽盘 537）：
生成盘亏 537 条 | 落在抽盘范围内 537 | 落在范围外 0
导出: 盲盘 active → 账面数/差异数 = '—'；盲盘 finished → 76 / -76（解锁）
2026-09-11 13:41:56 +08:00
97c1a9131c
feat(stocktake): 明/盲盘由后端强制驱动，前端解除屏蔽
...
原实现是前端把「账面数」「差异」两列用 HTML 注释藏掉 —— 数据仍在
HTTP 响应里明文下发，抓包或用改过的客户端即可看到，等于没有屏蔽。
【后端】/draft/merged-list 先查该 session_id 的 StocktakeSession.mode：
- blind：stock_qty 与 diff_qty 一律置 None，真实账面数不出现在响应中
- open ：正常下发
差异必须一并置空 —— diff_qty 由账面数算出，下发差异等于变相泄漏账面数。
响应新增 data.mode 供前端提示。
Fail-Safe：查不到会话行时按盲盘处理。宁可界面少显示两列，也不能因为
会话记录缺失就把账面数泄漏出去。
【前端】删除屏蔽用的 HTML 注释，恢复两列正常渲染，不再承担数据屏蔽职责。
但 null 必须渲染为「—」而非 0：原 差异 模板用 `row.diff_qty || 0`，
会把「未下发」显示成「无差异」，工人会误以为账实相符。
另在抽屉表头加模式标签，便于核对。
实测:
盲盘 → 账面数=None 差异=None mode=blind
明盘 → 账面数=1.0 差异=-1.0 mode=open
未知 session_id → 同盲盘（Fail-Safe 生效）
2026-09-11 13:34:36 +08:00
3f964614e3
feat(stocktake): start-new 落库会话配置，active-session 改查会话表
...
- /draft/start-new 接收 mode / scope_type / scope_config，插入一条
StocktakeSession(status='active')。同一公司原有活跃会话先置为 finished
（同一事务），否则会撞 uq_stocktake_session_one_active。
公司取值：普通用户强制本公司；跨域角色必须显式指定，否则 400。
scope_type 目前只放行 'full' —— 抽盘的范围过滤尚未实现，此时放行会导致
结束盘点时 generate-missing 把抽盘范围外的库存批量标成盘亏。
- /draft/active-session 改为直接查 stocktake_session
(company_name + status='active')，并返回 mode / scope_type 供前端展示。
旧实现靠 max(scan_time) 从草稿行猜，空会话识别不了。
- /stocktake/generate-missing 漏盘比对完成后把会话置为 finished，
否则 active-session 会继续把它当活跃会话，其他 PDA 会加入一个已结束的盘点。
实测:
① 超管+IRIS 创建 blind/full 会话 → 200
② SALES/IRIS 查活跃会话 → 拿到同一 session_id 与 mode=blind
（scanned=0 的空会话也能查到，旧实现此处返回 null）
③ 再开一轮 → superseded_count=1，旧的转 finished
④ scope_type=active → 400「活跃库位抽盘尚未实现」
⑤ DB 层验证唯一索引拒绝重复活跃会话
2026-09-11 13:28:49 +08:00
f8403d2fb2
feat(stocktake): 活跃会话接口补充已扫件数与发起人
...
多人协同场景下，加入者需要知道「谁开的、盘到哪了」，原接口只返回会话ID和
行数，信息不足以提示。
- /draft/active-session 新增 scanned（按 source_table+stock_id 去重，
且排除 user_id='system' 的自动漏盘记录，避免进度虚高）
与 initiator（该会话最早一条人工扫码记录的操作人姓名）
- 把 export_stocktake 内嵌的 get_user_name 提到模块级 _resolve_user_name
供两处复用，并补齐它漏掉的 user_id 格式：
盘点/流水里实际存的是 JWT 的 display_name，形如 "孙霞(sunxia)"，
而原实现只认 SysUser.username 的 "姓名/账号" 格式，导致解析不出来时
原样返回。现兼容 "姓名(账号)" / "姓名/账号" / 纯数字ID 三种。
实测: SUPER_ADMIN 无参数 → scanned=1117, initiator='韩善龙'
SALES + IRIS → 会话 company_name 为 NULL(迁移前遗留)，正确返回空
2026-09-11 12:42:55 +08:00
97ff63523c
fix(export): 公司隔离移出 if filters 判定，确保无条件执行
...
export_excel 的行级公司隔离原本嵌套在 `if filters:` 内部：
只要调用方不传或传空筛选条件，整段隔离会被跳过且不抛错 —— 静默失效。
（实测: 修复前 export_excel({}, None) 会导出跨公司全部 1816 行。）
现把 get_current_company_filter() 及其 filter_conditions.append 提到
if filters: 之前，无论有无筛选条件都绝对执行。
同时清理路由里 filters 字典的 'company' 死键 —— export_excel 从不消费它，
真正生效的是 get_current_company_filter() 直接读 request.args 上的公司标识。
注意：前端 handleExport 的 company 参数必须保留（已在代码中加注说明）。
实测 WAREHOUSE_MGR 带 ?company=IRIS 导出 1126 行仅 IRIS，不带则 1816 行
涵盖 IRIS+LICA —— 跨域角色按公司收窄范围完全依赖这个 query 参数。
实测(修复后):
SALES/IRIS filters={} → 1126 行, 仅 IRIS
SALES/IRIS filters={keyword:''}→ 1126 行, 仅 IRIS
WAREHOUSE_MGR ?company=IRIS → 1126 行, 仅 IRIS
WAREHOUSE_MGR (无参数) → 1816 行, IRIS+LICA
2026-09-11 12:41:27 +08:00
02e03e6fb6
fix(stocktake): 补上模块级 traceback 导入，修复异常分支的 NameError
...
stock.py 模块级从未 import traceback，却有 3 处裸调 traceback.print_exc()：
- scan_stock_by_barcode (/scan) —— 本次改动之前就存在
- get_stocktake_companies （新增）
- get_active_session （新增）
后果是真正的错误被 NameError 盖住：例如 company_name 列不存在时，
日志里只剩「name 'traceback' is not defined」，看不到根因。
其余 4 处在 except 块内写了局部 import 因而一直正常，现统一由模块级提供。
2026-09-11 11:34:23 +08:00
b8d18c71d8
fix(stocktake): 盘点链路按公司隔离，开启新盘点不再清空整表
...
修复三处跨公司数据污染：
1. /draft/start-new 原本执行 StocktakeDraft.query.all() 后逐条 delete，
任一库管点「开启新盘点」就会物理删除全公司所有人的盘点进度。
改为只签发新 session_id，历史数据原样保留；清理走 /draft/clear，
且强制要求 session_id（不传直接 400），杜绝误清整表。
2. get_stock_info() 全局按 barcode/sku 匹配三张库存表，不同公司的同码
物料互相串货。新增 company_name 参数，精确与模糊两段查询均经由 base
关系按 material_base.company_name 过滤；草稿去重键同步改为
(uuid, session_id, company_name)。
3. 盘点相关读写接口统一施加公司隔离：/draft/list、/draft/add、/draft/clear、
/variance-report、/draft/merged-list、/stocktake/all-items、
/stocktake/generate-missing、/stocktake/update-quantity、/export-stocktake、
/adjust、/scan。
顺带修复 /export-stocktake：差异与相符两张 Sheet 原本不按 session 过滤，
过去依赖 start-new 清空整表才恰好等价于当前会话，现显式按 session_id 过滤，
否则历史会话会被一并导出。
新增接口：
- GET /stocktake/companies 盘点页公司下拉（普通用户只返回本公司，
避免复用 /inbound/buy/options 时因缺 inbound_buy 权限而 403）
- GET /draft/active-session 该公司最近一次活跃会话，供多设备加入
2026-09-11 11:33:12 +08:00
a8a3c82331
fix(stock): 补行级防穿仓与入库改量下限，杜绝可用数变负
...
available_quantity 一旦为负，预占/释放/盘点的全部算术都会失真。此前有两处
缺口，本次一并堵上，使 available_quantity >= 0 成为不变量。
1) 执行阶段逐行扣减无下限校验（inventory_reservation.restore_then_deduct）
物料级校验只保证「Σ实扫 ≤ Σ可用」这一总量关系，拦不住「总量守恒但单行
穿仓」：同物料下 A 批可用 2、B 批可用 8，工人把 5 件全压在 A 批上，总量
5 ≤ 10 通过，A 批却被扣成 -3。借库走 deduct_stock=False，连实物数校验都
跳过，是裸扣。
已实测复现：借库与出库路径均可把单行扣成 -3。
校验放在 release_reserved() 之后，故不会误拒合法的换批次（物理覆盖）：
释放后每行 available 已含本单预占，扫自己预占过的批次时 raw >= 0 保证
必然放行；改扫其它批次时，该批次实时可用量就是它自己的上限。
2) 下调入库数量可把可用数压成负（buy/product/semi 三处 update_inbound）
按 diff 同步增减 stock/available，但无任何下限检查。该批次若已有部分被
预占/出库/借出，向下调整即产生负可用数。现在下调前校验可用数是否够扣。
正常数据下 stock >= available 恒成立，故守住 available 同时守住 stock。
配套：三个 update_* 端点此前只捕获 Exception → 500，没有 ValueError 分支
（同文件的 delete_* 早就有）。补上 400 分支，使业务校验失败不再被记成
服务端故障。
验证（事务内执行并回滚，未落库）：跨批次穿仓被拦、合法换批次放行、全额执行
本单预占批次放行、下调击穿被拦（API 返回 400，三个端点一致）、上调不受影响、
真实借库单 52 行全额执行正常、全库无负可用数。
2026-09-11 10:34:15 +08:00
4808a48594
refactor(audit): 审计架构清理——复活白名单监听器、停用噪声监听器、清除僵尸装饰器
...
一、统一为单一监听器实现
原先两套 SQLAlchemy 事件监听器并存：
· app/utils/audit_events.py —— 全局监听 db.Model、无白名单、无请求上下文守卫（实际在跑）
· app/core/audit_listener.py —— 白名单制、有守卫、有模型级开关（从未生效）
后者失效的根因：注册代码写在 extensions.py 的 init_extensions() 内，
而该函数全仓库只有定义、没有任何调用（create_app 直接内联调用 db.init_app 等）。
现统一由 app/core/audit_listener.py 承担，并在 create_app() 中显式注册。
extensions.py 的死函数 init_extensions 整体删除，避免后人误以为它是有效入口。
二、修复监听器三处致命缺陷（此前注册了也写不进数据）
1. 事件回调第二个参数是 Connection，原代码却调用 Connection.add()（不存在），
每次写日志都抛 AttributeError 并被 except 吞掉 → 改为 connection.execute()
2. register_audit_listeners 从 app.models 批量 import 多个未导出的模型，
ImportError 被上层 try/except 吞掉 → 改为按表名从 db.metadata 取模型
3. 本项目有 31 处函数体内延迟导入模型（如 scrap.py 内部才 import ScrapApproval），
一次性注册会静默漏表 → 增加 ensure_audit_listeners() 惰性补绑，
并在模型预加载段补全审批单/BOM/采购等模型
三、强约束
· WHITELIST_TABLES：仅 18 张核心业务表，系统表/草稿表/向量表不再自审
· has_request_context() 守卫：系统初始化与后台定时任务不再产生 username=system 噪声
· IGNORE_FIELDS 增加 password/password_hash/salt/token/secret/api_key（安全红线）
· created_at 显式写 beijing_time()，与全系统时间口径一致
四、清除僵尸装饰器
@audit_log 早已退化为直接透传的空壳（module/action 参数全被忽略，
数据库中零星的中文 action 即其历史遗留产物），却仍挂在 38 处路由上。
连同 13 个文件的 import 一并移除；audit_events.register_audit_events 改为空操作。
验证：应用上下文中的写操作不产生日志；HTTP 请求产生 5 条日志，
对象为业务单号（APR-SCRAP-... / SKU），模块中文，操作人真实，时间为北京时间。
2026-09-10 14:16:27 +08:00
f589962e5c
feat(scrap): 新增报废专用库存查询端点，解耦出库选单权限
...
报废申请页原复用 /inbound/stock/list，该端点权限是 outbound_selection。
持有 scrap_apply 的角色目前恰好也都持有该权限，故能跑通，但属隐性耦合：
任一角色授权脱钩就会静默 403，被前端 catch 掩盖成「加载库存失败」。
照抄借库既有先例（transactions.py 的 /borrow/stock-list），新增：
GET /v1/scrap/stock-list @permission_required('scrap_apply')
★ 同步把 'scrap_apply' 登记进 stock.py 的 SELECTION_PREFIXES。
_make_price_stripper 仅当前缀为 None 或已在集合中时才剥离价格，
漏登记会导致价格/成本字段泄露给报废申请人（Fail-Closed 失效）。
实测：OUTBOUND/WAREHOUSE_MGR 均 200，无 token 401，
响应中 unit_price/total_price/sale_price 等价格字段零泄漏。
2026-09-10 11:32:44 +08:00
ffbb2199f0
feat(scrap): 报废申请审批流 + 按单报废（后端）
...
- ScrapApproval 模型 + ScrapApprovalService：提交/列表/审批/执行(锁库存扣 available_quantity 写 TransScrap)
- 新路由 POST /scrap/request、/request/check-approval、GET /request、PATCH /request/<id>/approve、POST /request/<id>/execute；权限码 scrap_apply/scrap_approval/scrap_execute（无角色硬编码）
- 旧 /scrap 直接报废入口保持不变
- /inbound/stock/list 每项返回 source_table，供按单流程精准选库存
2026-09-10 09:46:57 +08:00
4146f35010
feat(permission): “出库/借库需审批”开关权限化——仅主管/超管可见可改
...
- 新增权限码 material_list:isApprovalRequired，授予仅 SUPER_ADMIN/SUPERVISOR（收回其它角色）
- 物料列表该列仅持码角色可见；后端批量端点与字段脱敏均改按新码校验，其余角色看不到值也无法改
2026-09-09 10:47:36 +08:00
4cd3eefdf4
feat(borrow,outbound): 默认免审批改造——命中物料需审批才走原流程
...
- models/base.py 加 is_approval_required 列及 isApprovalRequired 序列化；field_permissions 登记
- 新增 POST /inbound/base/batch-approval（批量设需审批，仿批量质检）
- borrow_service.submit_approval / outbound_service.create_request：明细含需审批物料→须选审批人走原审批；否则创建即 status=1(待库管执行)、不发审批邮件
- 判定按 (name,spec_model) 反查启用物料
2026-09-09 09:31:18 +08:00
2b0e335790
fix(inbound/buy): 批号自增改为按物料精准取最近一条
...
- 新增 get_latest_batch_record_by_base_id：SQL 直接 filter(base_id)+order by in_date/id desc first()，O(1) 不分页
- 新增 GET /inbound/buy/latest-record
- 修复原“拉全表前1000条再前端过滤”导致的历史被截断→批号退回000001/重复入库被拦（如 CCAB0029）
2026-09-08 18:16:04 +08:00
b40aa3ab90
fix: 出库选单手动添加库存(/v1/inbound/stock/list)加行级公司隔离（三表按 base 公司过滤，超管/跨域不受限）
2026-09-04 15:55:24 +08:00
2f6027b43c
fix: 采购列表字段过滤后补回 base_id，恢复前端批号自动叠加（与 semi 列表一致，修 LICA 同物料二次入库拦截）
2026-09-04 15:33:17 +08:00
a2d3a2c43a
fix: 半成品列表字段权限过滤后补回 base_id,修复批号自增失效
...
- get_list 的 apply_strict_rbac 剥离 base_id,导致前端 checkHistoryAndSetMode 无法按物料匹配历史
- 过滤后补回 base_id,扫码/选物料联动时批号能按历史正确自增(如 000002 → 000003)
2026-09-01 16:08:27 +08:00
bee037f925
feat: MOM 扫码入库对接 Track 产品身份证自动填充
...
- 半成品/成品入库弹窗顶部新增'扫码入库'按钮,打开扫码面板(扫码枪/摄像头)
- 扫码 Track 身份证后自动填充物料信息与序列号,不再二次搜索
- 后端新增 track_query_service(httpx 调 Track lookup)、track-lookup 接口
- 入库成功后 notify_track 通知 Track 闭环
2026-09-01 13:52:56 +08:00
893e7250db
fix(api): update-stocktake-quantity 按 session_id 隔离更新，防止跨会话误改
...
后端 update_stocktake_quantity 原只按 stock_id+source_table 查草稿，
不同盘点会话会相互覆盖实盘数。后端增加 session_id 过滤，
前端 handleQuantityChange 配套传入当前会话ID，API 类型同步补全。
2026-08-31 16:00:20 +08:00
eb017d881c
perf(api): draft/list 与 stocktake/all-items 改为数据库级分页，消除 N+1
...
- /draft/list: 废弃 query.all() + 逐条查库存/material_base 的 N+1，
改为原生 SQL 连表（草稿 JOIN 三张库存表 + material_base）+ LIMIT/OFFSET 分页
- /stocktake/all-items: 废弃三表 .all() + item.base 懒加载 + 内存切片，
改为 UNION ALL + LEFT JOIN + LIMIT/OFFSET，COUNT 聚合求总数
2026-08-31 16:00:13 +08:00
6ba20fa3db
fix(stocktake): 修复盘库重复记录 — 去重条件去掉 user_id
...
根因: draft/add 用 (user_id, uuid, session_id) 匹配去重，
同一盘点单多个用户（手机/平板不同账号）操作同一物料时，
每个用户各建一条 → 重复记录。
修复:
- 去重改为 (session_id, uuid) 唯一，不按 user_id 隔离
- 已存在则更新数量并记录最后操作用户
- 清理现有重复数据（保留每组最小id）
- 新增唯一索引 uq_stocktake_draft_session_uuid 防未来再重复
数据库需执行:
DELETE FROM stocktake_draft a USING stocktake_draft b
WHERE a.session_id=b.session_id AND a.uuid=b.uuid AND a.id>b.id;
CREATE UNIQUE INDEX IF NOT EXISTS uq_stocktake_draft_session_uuid
ON stocktake_draft(session_id, uuid);
2026-08-31 15:18:47 +08:00
7a3ffd8ba5
feat(stocktake): 重复扫码提示并确认是否修改
...
问题: 同一个码扫两遍输入两个数，后端 draft/add 直接覆盖，无任何提示
可能误改已盘数量
改进:
- 后端 draft/list 支持 uuid 过滤，可精确查某物料是否已盘
- 扫码弹输入框前，先精确查询该物料是否已盘
- 已盘过 → 弹窗提示『当前实盘为 X，是否修改？』
确认后预填旧值供修改，取消则不改变
2026-08-31 15:13:52 +08:00
c6e8c887ec
perf(stocktake): 应盘清单分页 + 扫码置顶高亮
...
性能修复（解决打开费劲）:
- get_all_stocktake_items 改为分页返回 {items(当前页), total, total_scanned}
不再三次 .all() 全量加载 + 内存排序
- 前端 fetchAllStockItems 分页拉取（每页200），stats 用后端返回的 total
不依赖全量数组长度
体验优化:
- 扫码成功后将物品置顶到当前表格第一行并浅绿高亮3秒
库管无需翻页找刚扫的物品，'嘀'一下确认数量即可继续
- 主表格行高亮样式 .just-scanned-row
2026-08-31 14:59:22 +08:00
7e281cf285
fix(stocktake): 盘库扫码改为精确匹配，修复漏匹配与性能问题
...
问题:
1. 准确性 bug: 前端用 getStockList({pageSize:10, keyword}) 模糊搜索 + find()
当 SKU 前缀相同、目标不在前10条时，误报'未找到该物料库存'
2. 性能: 每次扫码全表 ilike %x% 搜索 3 张表，不走索引
修复:
- 后端 get_stock_info 改为精确匹配(==)优先，未命中再回退模糊搜索
- 新增 GET /inbound/stock/scan 扫码精确匹配接口，返回唯一命中
- 前端 onScanSuccess/handleManualInput 改用 scanStockByBarcode
一次请求直接命中，不再依赖 pageSize:10 + find()
2026-08-31 14:49:24 +08:00
2ff0f92f94
fix(stocktake): 修复盘点报告导出 500 错误
...
- 导出盘点报告时第1126行使用了 func.sum()/func.coalesce()
但文件未导入 sqlalchemy 的 func
- 改为 db.func.sum()/db.func.coalesce()，与文件内其他用法一致
2026-08-28 15:53:03 +08:00
d80edc961c
fix: 三个模块 update endpoint 统一 Default Deny + 权限码全量对齐 sys_element
2026-07-20 14:26:22 +08:00
3dca2b9254
fix: buy.py update field_to_perm 库位权限码 inbound_buy:warehouse_location → inbound_buy:warehouse_loc，对齐 sys_element
2026-07-20 14:21:22 +08:00
9bcd02c742
fix: update_buy perm_code=None 导致 NoneType 崩溃 + validateUnique 编辑时排除自身改用 Number() 防类型不一致
2026-07-17 16:57:46 +08:00
1cc7d51e03
fix: semi/product submit 响应用 apply_strict_rbac 替代硬编码 resp.pop，成本字段纳入 RBAC 统一管控
2026-07-17 14:36:26 +08:00
61b60f7aa0
fix: 修复 semi/product 物料搜索空白 — search_base 移除错误地对 MaterialBase 数据使用 Stock 表映射过滤
2026-07-17 13:45:28 +08:00
3c0954598c
perf: 综合安全加固 — RBAC严格映射+异步邮件+字段权限白名单+前端对齐+导入模板
...
本次提交包含本会话所有修改的最终统一提交
## 权限系统重构
- permission_service.py: 添加入库/采购操作元素 + ensure_default_permissions
- field_permissions.py: 严格1-to-1 Default Deny 字段映射(StockBuy/Semi/Product/MaterialBase)
- decorators.py: _expand_operation_perms 双向粒度桥接 + prevent_double_submit
- deploy_production.sql: 修复 sys_element 别名码(qty_inbound→in_quantity)
## 采购模块
- purchase.py: 权限驱动可见性 + inbound_purchase独立权限 + 价格字段过滤
- purchase_service.py: 异步邮件 + 三阶段批量模糊匹配防N+1
- purchase/index.vue: canApprove严格操作权限 + upload重复修复
## 导出/入
- base_service.py: export_excel 流式写入防OOM + get_latest_specs 优化
- import_service.py + import_api.py: Excel批量导入（模板+预览+执行）
- ImportDialog.vue: 三步骤导入弹窗
## 异步邮件
- email_service.py: send_email_async (守护线程)
- inventory_task.py: send_email→send_email_async
## 前端对齐
- product/semi/buy.vue: 列对齐in_quantity/stock_quantity/available_quantity + localStorage缓存V2
- buyOdoo.vue: 排序修复 + 导入按钮 + 移除点击展开加载
- BomManage.vue: 懒加载分组 + 导入按钮
- list.vue: 导入按钮
- Selection.vue + borrow/apply: BOM匹配修复 + 导入按钮
- outbound/create.vue: 出库类型必选
- AppMain.vue: 移除transition白屏修复
- material_base.ts, outbound.ts, bom.ts, stock.ts: 新增API函数
2026-07-17 13:07:12 +08:00
2e903cff2c
perf: 规格连号助手优化 — 流式查询+宽松regex+Redis缓存
...
## base_service.py get_latest_specs
- .all()全量→with_entities().limit(10000) 防OOM
- regex放宽: 支持 LICA-3000/M3x12 等格式(旧版仅匹配OPT12046)
- 移除OPT硬编码→SUB_CATEGORY_PREFIXES可配置集合
- Redis缓存(1h): 首次查询后缓存,后续命中直接返回
## base.py 缓存失效
- 新增 _invalidate_specs_cache() 辅助函数
- create/update/delete 成功后清除缓存
2026-07-16 18:15:43 +08:00
8c10bb0903
feat: 盘点合并列表 — 服务端JOIN+DB分页，消除99999全量加载
...
## stock.py
- 新增 GET /draft/merged-list: UNION ALL三表+LEFT JOIN draft
数据库级 LIMIT/OFFSET 分页，不再加载全量到Python内存
- 参数: session_id, keyword, status_filter, page, pageSize
- 返回: list, total, total_scanned (已扫去重数)
## stock.ts
- 新增 getDraftMergedList() API函数
## stocktake/index.vue
- fetchInventoryList: 改用merged-list单次调用替代99999全量+find()
- resumeSession: limit 99999→1 先检查存在,再limit 500加载
2026-07-16 13:08:29 +08:00
c07f25b646
fix: Fail-Closed 字段级安全加固 — 堵住15+端点价格泄露
...
## stock.py
- _make_price_stripper(): 工厂函数,选单前缀自动剥离所有价格/成本字段
- _do_get_stock_list(permission_prefix): 每个item.to_dict()后剥离价格
- /all 端点: 非AI模式自动剥离价格字段
- /list 端点: permission_prefix='outbound_selection' 传递
## outbound.py
- /bom-match-stock: 返回前按stock_type剥离全部价格/成本字段
- /scan: result.pop('price', None)
## scrap.py
- /scan: result.pop('price', None)
- /records: 每条记录剥离 cost_at_scrap, total_loss
## transactions.py
- filter_item_by_permissions: 从空字典恢复完整20字段映射
- /borrow/stock-list: permission_prefix='op_borrow_apply' 传递
## buy.py / semi.py / product.py
- submit 成功响应剥离所有价格/成本字段(不泄露给前端)
## bom.py
- /base/list: 剥离 referencePrice
2026-07-16 11:26:05 +08:00
2556b77530
perf: 系统级性能优化与并发安全修复
...
## 并发安全修复 (4处)
- scrap.py: 报废执行添加 SELECT FOR UPDATE 悲观锁，消除 TOCTOU 竞态
- stock.py (adjust_stock): 盘点调整添加 for_update=True 行锁
- outbound_service.py: 低库存预警 SMTP 调用移到 commit 之后，避免长事务
- trans_service.py: execute_dispatch 按 (source_table, id) 排序 items，消除死锁风险
## N+1 查询优化 (2处)
- inventory_task.py: _prefetch_inventory_map 单条 UNION ALL+GROUP BY 替代循环内逐条查询（N*4次→2次）
- stock.py (export_stocktake): get_borrowed_qty 批量 GROUP BY 替代逐条 TransBorrow 查询（~18000次→1次）
## BOM 列表性能重构
- bom_service.py: get_bom_list 单条 GROUP BY+string_agg+分页，消除 N+1 循环查询
- bom_service.py: 新增 get_bom_summary (轻量 GROUP BY category+COUNT)
- bom.py: 新增 /api/v1/bom/summary 路由，/list 支持 category 过滤
## Odoo 基础信息懒加载
- base_service.py: 新增 get_odoo_summary (GROUP BY category+COUNT)
- base.py: 新增 /api/v1/inbound/base/odoo-summary 路由
- buyOdoo.vue: 懒加载分组架构 (fetchOdooSummary + loadGroupItems)
- material_base.ts: 新增 getOdooSummary API
## 前端 Bug 修复
- BomManage.vue: 懒加载分组 (fetchBomSummary + loadGroupItems + collapse)
- BomManage.vue: 适配新 API 格式 (res.data.items 替代 res.data)
- buyOdoo.vue: 移除 "点击展开加载" 文字
- Selection.vue + borrow/apply/index.vue: openBomSelect 适配新 API 格式
2026-07-15 17:37:57 +08:00
4b1a86a870
fix: 对齐field_to_perm与sys_element权限码 + 税率6% + 含税总价反算
...
- buy/semi/product: 数量字段映射对齐sys_element实际注册码(qty_inbound/qty_stock/qty_available)
- 数据库: 补全buy(9)+semi(10)+product(13)缺失权限码
- deploy_production.sql: 同步更新
- buy.vue: 税率新增6%选项, 价格联动以含税为主输入, 税率变化保持最后编辑价格不变
- buy.vue: 新增含税总价可输入反算功能
2026-07-15 15:03:37 +08:00
0651eb07fa
fix: 彻底解耦出库/借库权限联动 + 路由去硬编码roles + 补API权限保护
...
根因: 借库选单页面14处硬编码outbound_selection:operation, 导致两模块权限联动
修复:
- borrow/apply: 14处outbound_selection:operation→op_borrow_apply:operation
- stock.py: 拆分_do_get_stock_list裸逻辑, 出库/借库各绑独立权限码
- transactions: 新增/borrow/stock-list端点(@permission(op_borrow_apply))
- transaction.ts: 新增getBorrowStockList前端API函数
- outbound.py: 出库审批4端点改用独立outbound_approval权限码
- transactions.py: 借库审批3端点补@permission(op_borrow_approval)
- purchase.py: 采购管理7端点补@permission(inbound_buy)
- audit.py: 审计日志补@permission(system_audit)
- router: 清除全部6处硬编码roles, 交由动态权限树控制
2026-07-15 14:33:11 +08:00
e1417d740a
feat: 全模块公司隔离 + crossDomain权限码动态跨域控制
...
- get_current_company_filter: 新增_has_cross_domain_permission, 权限码替代硬编码
- 补全11个Service的get_current_company_filter调用(semi/product/service/outbound/bom/trans/scrap/summary)
- base/search修复: search_material此前无隔离, 已补全
- get_current_company_filter兜底: JWT缺company_name时返回__NO_COMPANY__防止放行
- permission.py: _get_operator_company补全返回值, 修复权限页保存逻辑
- 新增crossDomain迁移脚本, element_type=element挂system_mgmt下
2026-07-15 11:11:40 +08:00
8f468a0a39
fix: 修复全局字段权限导致数据显示为空的问题
...
根因: /permissions/role/<role_code> 接口要求 system_permission,
非管理员角色无法获取自身权限 → 权限数组为空 → 前后端字段全被过滤
修复:
- permission.py: 查自己角色不再需要 system_permission, 解除权限死锁
- 5个 inbound API: 恢复完整 field_to_perm 映射, 每个字段均可独立权限管控
- 补齐遗漏字段(qty_inbound/qty_stock/qty_available/request_id/request_no)
- buy.vue: 入库表单价格字段加入 hasFormFieldPermission 守卫
2026-07-14 16:09:41 +08:00
760f78e016
feat: 添加参考价格列 + 修复公司筛选跨域问题 + CLIP模型持久化
...
## 新增功能
- material_base 表新增 reference_price 列（NUMERIC(10,2)）
- 基础信息 list.vue / buyOdoo.vue 页面增加「参考价格」列展示和编辑
- 新增 material_list:referencePrice 权限元素，支持按角色控制可见性
## Bug 修复
- 入库三页面（buy/product/semi）公司筛选：非超管用户 company=ALL 不再传给旧版后端
- 基础信息两页面（list/buyOdoo）：buyOdoo 增加 v-if=isSuperAdmin 与 list.vue 行为统一
- company=ALL 默认值在各页面 getList/fetchData 中自动过滤，兼容旧版后端
## 运维优化
- docker-compose.prod.yml 增加 models_prod 卷挂载，CLIP模型持久化免重复上传
- deploy_code.sh 增加 models_prod 目录检查与模型文件存在性告警
2026-07-13 17:30:52 +08:00
4f5965db02
feat: JWT多租户数据权限隔离 & 主管系统管理权限 & 含税单价补齐
...
## 多租户公司数据隔离
- 新增 get_current_company_filter() 工具函数 (decorators.py)
SUPER_ADMIN: 可传company_name参数过滤或传ALL看全量
其他角色: 强制隔离到JWT中的company_name
- 重构 base_service.py / buy_service.py: 用集中式函数替换内联公司过滤
- SysRolePermission 表新增 company_name 字段，支持同角色不同公司权限
- get_user_permissions() 新增 company_name 参数，查公司定制+全局模板权限
- permission.py API 新增 @permission_required 拦截 + 公司过滤
- 19个API/service文件传递 company_name 到权限查询
## 主管系统管理权限
- delete_user() 允许SUPERVISOR删除同公司用户 (原仅SUPER_ADMIN)
- get_all_users() 新增 company_name 参数过滤
- 用户列表/权限分配 API 应用 get_current_company_filter()
- 前端 UserCreate.vue: 超管可见公司下拉框，主管隐藏部门字段
## 前端多租户适配
- material/list.vue / buy.vue: 公司下拉框仅超管可见，默认ALL
- UserCreate.vue: 新增搜索栏公司筛选，部门字段按角色显隐
- auth.ts: getUserList() 支持 params 参数
## Bug修复: 含税单价字段补齐
- buy.vue: 表格列/高级筛选/排序/权限映射新增 post_tax_unit_price
- buy_service.py: allowed_fields/sort_field_map 新增 post_tax_unit_price
2026-07-13 15:12:22 +08:00
c1092407ad
V3.50
2026-06-25 15:21:43 +08:00
8a2da1ac1e
半成品/成品入库：BOM 编号下拉按父件规格联动过滤（前后端双端改造）
...
- 后端 /inbound/{semi,product}/search-bom 增加 parent_spec 可选参数，Service 层在 MaterialBase.spec_model 上加等值过滤
2026-06-04 16:01:48 +08:00
bac670ef7a
基础信息页：计量单位改 el-select(下拉历史+手动输入)；表单排版重排为 4 行(类别占满行)；类别末级英文后缀自动填规格型号
2026-06-04 13:22:51 +08:00
cf55c94826
feat: 库存接口增加 ai_mode=true 极简返回模式，键名压缩为 n/s/c
2026-05-19 09:53:06 +08:00
259f3a7e0d
4.29扫码获取库位小工具接口
2026-04-29 15:40:43 +08:00
183b93012e
4.28
2026-04-28 16:07:11 +08:00
e08eaff40a
feat(outbound): 库存列表按规格+库位聚合 + BOM明细类型修复
2026-04-28 09:23:59 +08:00
40e405becd
4.27
2026-04-27 16:33:54 +08:00
48f2011a38
fix: 盘点草稿已盘数量统计兼容字段名 quantity
2026-04-24 13:32:46 +08:00
