feat(分组权限): 业务分组模型 + DataScope 判定 + 列表接口接入

第一阶段：模型 → 判定 → /auth/me → 列表。统计接口与前端管理页随后。

1) 模型与迁移（head 从 k1l2m3n4o5p6 推进到 l1m2n3o4p5q6）
   · business_groups        组定义，parent_id 表达「大组 > 小组」
   · business_group_phases  可见范围，独立成表以支持多选 —— 需求要求
                            「范围可配置、不要写死」，单列存不下多个 phase
   · business_group_members 成员，一人可属多组（这是「同时看生产+维修」的实现）
   只建表、不写种子数据，所以可以先部署代码再建组。

2) DataScope 判定模块（app/services/data_scope_service.py）
   全仓库唯一的权限谓词来源，业务代码里不准再出现 lifecycle_phase 过滤。
   两条红线照抄部门隔离的教训：
   · None(不限) 与 frozenset()(空) 语义相反，绝不共用一个哨兵值
   · 空集合必须显式 false() —— SQLAlchemy 对 in_(()) 生 成 IN (NULL)，
     一旦退化成不过滤就是全量泄漏
   解析优先级：SUPER_ADMIN 硬放行（不可被分组覆盖）
             > 显式分组（分组优先于角色）
             > 未分组 SUPERVISOR 默认全厂
             > 未分组普通用户

3) 过渡期开关 DATA_SCOPE_UNGROUPED（默认 ALL）
   直接上严格模式会让所有未分组工人当场看不到自己的任务、现场停摆。
   默认 ALL 先放行并打 WARNING 记录「谁还没分组」，配好组后再改 NONE。

4) /auth/me 返回 scope，phase 中文标签由服务端下发
   —— 前端已有两份 phase 词表副本，不再加第三份。

5) 列表接口接入
   · get_all_products：过滤加在 offset/limit 之前（其下有 6 段基于 product_ids
     的批量预计算，过滤晚了等于算完再丢）
   · get_all_tasks：谓词进【共享 filters】，保证 count 与 select 两条独立语句
     同时生效，否则 total 与实际页不一致、移动端 hasMore 判断跟着错
   · 扫码 get_product_by_serial 刻意不过滤，理由写死在 docstring 里

实测：空 scope 生成 false、受限 scope 生成 JOIN + IN 谓词；
/products 返回 2 条、/tasks 的 total 与 returned 一致。

backend/app/core/config.py

@@ -42,6 +42,15 @@ class Settings(BaseSettings):
     # LICA 用 "L" 打头，一眼区分部门来源；IRIS 实例保持空串不受影响。
     SERIAL_PREFIX: str = "L"
 
+    # ---- 业务分组数据范围 ----
+    # 未被分进任何业务组的**普通用户**（非超管、非主管）能看到什么：
+    #   "ALL"  = 过渡期先放行，同时打 WARNING 日志把「谁还没分组」暴露出来
+    #   "NONE" = 目标态：看不到任何数据（列表返回空，不是 403）
+    # ⚠️ 直接上 NONE 会让所有未分组工人当场看不到自己的任务，现场停摆。
+    #    推荐节奏：先 ALL 上线 → 看日志收集未分组名单 → 配好组 → 再翻 NONE。
+    #    翻开关只需改这里 + 重启，不需要改代码、不需要迁移，回滚同样瞬时。
+    DATA_SCOPE_UNGROUPED: str = "ALL"
+
     @property
     def CORS_ORIGINS_LIST(self) -> list[str]:
         """将 JSON 字符串解析为 Python list，供 CORSMiddleware 使用"""

backend/app/core/deps.py

@@ -2,9 +2,12 @@
 from __future__ import annotations
 
 from fastapi import Depends, HTTPException, status
+from sqlalchemy.ext.asyncio import AsyncSession
 
+from app.core.database import get_db
 from app.core.roles import ADMIN_ROLES
 from app.services.auth_service import get_current_user
+from app.services.data_scope_service import DataScope, resolve_data_scope
 
 
 def require_roles(*roles: str):
@@ -33,3 +36,21 @@ def require_roles(*roles: str):
 
 # 审计日志等高权限接口复用同一实例
 require_admin = require_roles(*ADMIN_ROLES)
+
+
+async def get_data_scope(
+    db: AsyncSession = Depends(get_db),
+    current_user: dict = Depends(get_current_user),
+) -> DataScope:
+    """业务分组数据范围 —— 列表 / 统计类接口的统一入口。
+
+    ⚠️ **硬依赖 get_current_user**：匿名请求直接 401，**不放行成空范围**。
+       两个理由：
+       1. 「匿名 = 空范围」会让大屏变成一个永远空白的页面，比 401 更难排查；
+       2. 匿名不过滤本身就是绕过口子 —— 谁能不登录看全厂数据，分组就形同虚设。
+
+    刻意**不加 TTL 缓存**：把人踢出组必须立即生效，任何缓存都会造成
+    「已经踢了还在看」的窗口。这里是单表 + 索引扫描，成本可忽略；
+    FastAPI 的依赖缓存在单请求内已经生效（同一请求多处 Depends 只解析一次）。
+    """
+    return await resolve_data_scope(db, current_user)