From 50957565715d7d0d67d990043c250277013218a7 Mon Sep 17 00:00:00 2001
From: duxingchen <duxingchen@iris-rs.cn>
Date: Mon, 21 Sep 2026 17:41:17 +0800
Subject: [PATCH] =?UTF-8?q?fix(=E5=88=86=E7=BB=84):=20=E6=8A=8A=E8=B6=85?=
 =?UTF-8?q?=E7=AE=A1=E6=8E=92=E9=99=A4=E5=9C=A8=E5=88=86=E7=BB=84=E4=B9=8B?=
 =?UTF-8?q?=E5=A4=96=20+=20=E6=B7=BB=E5=8A=A0=E6=88=90=E5=91=98=E6=94=B9?=
 =?UTF-8?q?=E7=94=A8=E5=B8=A6=E6=90=9C=E7=B4=A2=E7=9A=84=E4=B8=8B=E6=8B=89?=
MIME-Version: 1.0
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit

1) 超管不进分组
   超管的数据范围是硬编码全厂（resolve_data_scope 规则 1），业务分组对他
   根本不生效。把他放进成员名单会造成两处矛盾：
     · 界面上「他在这个组里」暗示他受该组约束，但实际不受；
     · 若再给他打组长标记，会出现「组长却不受组范围限制」的怪状态。
   所以：
     · member-candidates 的 SQL 加 `COALESCE(role,'') <> 'SUPER_ADMIN'`
       （LICA 19 人 → 17 人）
     · add_member 再挡一道并给出明确原因，防止绕过界面直接调接口
     · _is_super_admin_account 在 MOM 查询失败时**保守当作超管拦下** ——
       误拦只是加不进去，误放会留下脏数据

2) 添加成员的下拉改用 antd Select
   原先是原生 <select>：LICA 近 20 人，展开会整屏铺开、且不能搜索，又长又难选。
   改为带 showSearch 的 Select（按姓名或账号过滤，optionFilterProp=label），
   并在未选人时禁用「添加」按钮，避免无意义报错。

实测：
  候选人数 19 → 17，超管已不在列表中
  直接 POST 加 sunxia / xingyouwu → 400 并给出原因
  普通成员 duwensheng 加入 → 201，移出 → 204（对照组正常）
---
 backend/app/api/v1/endpoints/groups.py       | 41 ++++++++++++++++++-
 frontend/src/pages/admin/AdminGroupsPage.tsx | 43 ++++++++++++--------
 2 files changed, 67 insertions(+), 17 deletions(-)

diff --git a/backend/app/api/v1/endpoints/groups.py b/backend/app/api/v1/endpoints/groups.py
index 381b1d9..f059e5f 100644
--- a/backend/app/api/v1/endpoints/groups.py
+++ b/backend/app/api/v1/endpoints/groups.py
@@ -105,6 +105,30 @@ async def _can_manage_members(db: AsyncSession, user: dict, group_id: int) -> bo
     return group_id in await _leader_group_ids(db, user)
 
 
+async def _is_super_admin_account(username: str) -> bool:
+    """这个 MOM 账号是不是超管。
+
+    要在 MOM 侧查（Track 不存用户表）。查不到（账号不存在）时返回 False ——
+    交给后续流程处理，不在这里假装是超管。
+    """
+    if not username:
+        return False
+    db = MomSessionLocal()
+    try:
+        from sqlalchemy import text
+        row = db.execute(
+            text("SELECT role FROM sys_user WHERE username LIKE :p LIMIT 1"),
+            {"p": f"%/{username}"},
+        ).fetchone()
+        return bool(row) and (row[0] or "") == SUPER_ADMIN
+    except Exception:
+        # MOM 不可用时**不放行**为「不是超管」的反面 —— 这里失败意味着查不到身份，
+        # 保守做法是当作超管拦下（误拦只是加不进去，误放会留下脏数据）
+        return True
+    finally:
+        db.close()
+
+
 def _require_super(user: dict) -> None:
     """建组 / 改组 / 删组 / 配范围 —— 这些是提权入口，只给超管"""
     if not _is_super(user):
@@ -213,6 +237,12 @@ def list_member_candidates(
 ):
     """候选人下拉 —— 复用与 users.py 一致的 MOM 查询口径（部门已钉死为 ORG_DEPARTMENT）。
 
+    ⚠️ **排除超级管理员**：超管的数据范围是硬编码的全厂（见 resolve_data_scope
+       规则 1），分组对他根本不生效。把超管放进分组只会造成两处困惑：
+         · 界面上「他在这个组里」暗示他受这个组约束，但实际不受；
+         · 若再给他打组长标记，会产生「组长却不受组范围限制」的矛盾状态。
+       所以既不显示在候选里，也不允许加入（add_member 会再挡一道）。
+
     注意这里**不复用 users.py 的端点函数**：那个函数与 FastAPI 的 Query 默认值
     耦合，直接调用拿到的是 Query 对象而非值。所以照抄同一条 SQL 的写法，
     但部门条件取自同一处 settings.ORG_DEPARTMENT，口径不会漂移。
@@ -224,8 +254,9 @@ def list_member_candidates(
                    SPLIT_PART(username, '/', 1) AS full_name
             FROM sys_user
             WHERE department = :dept
+              AND COALESCE(role, '') <> :super_admin
         """
-        params = {"dept": settings.ORG_DEPARTMENT, "lim": limit}
+        params = {"dept": settings.ORG_DEPARTMENT, "lim": limit, "super_admin": SUPER_ADMIN}
         if keyword.strip():
             sql_text = base_sql + " AND username ILIKE :kw ORDER BY username LIMIT :lim"
             params["kw"] = f"%{keyword.strip()}%"
@@ -551,6 +582,14 @@ async def add_member(
             status.HTTP_403_FORBIDDEN, "只有超级管理员、主管或本组组长可以添加成员"
         )
 
+    # 超管不进分组：他的范围是硬编码全厂，分组对他不生效。
+    # 放进来的话界面会暗示「他受这个组约束」，与事实不符。
+    if await _is_super_admin_account(payload.user_id):
+        raise HTTPException(
+            status.HTTP_400_BAD_REQUEST,
+            "超级管理员不受业务分组约束（数据范围恒为全厂），无需加入分组",
+        )
+
     exists = await db.scalar(
         select(BusinessGroupMember.id).where(
             BusinessGroupMember.group_id == group_id,
diff --git a/frontend/src/pages/admin/AdminGroupsPage.tsx b/frontend/src/pages/admin/AdminGroupsPage.tsx
index 9510575..90c91ab 100644
--- a/frontend/src/pages/admin/AdminGroupsPage.tsx
+++ b/frontend/src/pages/admin/AdminGroupsPage.tsx
@@ -1,5 +1,5 @@
 import { useState, useEffect, useCallback, useMemo } from "react";
-import { Table, Button, Modal, Input, Checkbox, Tag, App, Spin, Empty } from "antd";
+import { Table, Button, Modal, Input, Checkbox, Tag, App, Spin, Empty, Select } from "antd";
 import { Plus, Pencil, Trash2, UserPlus, Crown, ShieldCheck } from "lucide-react";
 import { useAuth } from "../../contexts/AuthContext";
 import { isSuperAdmin } from "../../constants/task";
@@ -412,22 +412,33 @@ export default function AdminGroupsPage() {
             />
           )}
 
-          {/* 添加成员面板 */}
+          {/* 添加成员面板 —— 用 antd Select 而非原生 select：
+              LICA 有近 20 人，原生下拉会整屏铺开且不能搜，又长又难选。 */}
           {candidates.length > 0 && (
-            <div className="mt-3 flex items-center gap-2 rounded-lg border border-blue-200 bg-blue-50 p-3">
-              <select
-                className="flex-1 rounded-lg border border-gray-200 px-3 py-2 text-sm focus:border-blue-400 focus:outline-none"
-                value={picked ?? ""}
-                onChange={(e) => setPicked(e.target.value || undefined)}
-              >
-                <option value="">选择人员…</option>
-                {candidates.map((c) => (
-                  <option key={c.username} value={c.username}>{c.full_name}（{c.username}）</option>
-                ))}
-              </select>
-              <Checkbox checked={pickedLeader} onChange={(e) => setPickedLeader(e.target.checked)}>设为组长</Checkbox>
-              <Button type="primary" size="small" loading={adding} onClick={handleAddMember}>添加</Button>
-              <Button size="small" onClick={() => setCandidates([])}>取消</Button>
+            <div className="mt-3 flex flex-wrap items-center gap-3 rounded-lg border border-blue-200 bg-blue-50 p-3">
+              <Select
+                className="min-w-[260px] flex-1"
+                placeholder="搜索姓名或账号…"
+                showSearch
+                allowClear
+                autoFocus
+                value={picked}
+                onChange={(v) => setPicked(v)}
+                optionFilterProp="label"
+                options={candidates.map((c) => ({
+                  value: c.username,
+                  label: `${c.full_name}（${c.username}）`,
+                }))}
+              />
+              <Checkbox checked={pickedLeader} onChange={(e) => setPickedLeader(e.target.checked)}>
+                设为组长
+              </Checkbox>
+              <div className="flex gap-2">
+                <Button type="primary" size="small" loading={adding} disabled={!picked} onClick={handleAddMember}>
+                  添加
+                </Button>
+                <Button size="small" onClick={() => setCandidates([])}>取消</Button>
+              </div>
             </div>
           )}
         </div>