duxingchen
3286a11bc7
- 复制来源: /home/yueli/track @ 192c8ee (feature/ai-audit-update) - 组织隔离目标: LICA - 端口规划: 前端 8030 / 后端 8031 / 数据库 8032 - 已排除 deploy.sh、deploy_full.sh、docker-compose.prod.yml（IRIS 生产发布脚本） - 已排除工作区未提交改动，取干净的 192c8ee 状态
32 lines
1.2 KiB
Python
32 lines
1.2 KiB
Python
"""角色定义与管理员判定 —— 单一事实来源
|
||
|
||
背景：角色字符串此前散落在至少三处 —— task_service.ADMIN_ROLES、
|
||
products.py 的内联判断、以及前端 constants/task.ts。同一份规则抄多份的后果
|
||
已经发生过：前端 constants/task.ts:233 的注释记录了一次「移动端只判了
|
||
SUPER_ADMIN、漏了 SUPERVISOR，导致主管被误挡」的事故。
|
||
|
||
本模块把**角色常量与管理员判定**先收敛到一处，供后端统一引用。
|
||
完整的「角色 × 权限点」可配置矩阵是后续工作；但任何推进都应从这里出发，
|
||
不要再新增第四份副本。
|
||
"""
|
||
from __future__ import annotations
|
||
|
||
SUPER_ADMIN = "SUPER_ADMIN"
|
||
SUPERVISOR = "SUPERVISOR"
|
||
# 注意：MOM 登录返回的默认角色是小写 operator（见 auth_service.login）
|
||
OPERATOR = "OPERATOR"
|
||
|
||
# 管理员角色：可执行收口、审计查看等高权限动作
|
||
ADMIN_ROLES: frozenset[str] = frozenset({SUPER_ADMIN, SUPERVISOR})
|
||
|
||
ROLE_LABELS: dict[str, str] = {
|
||
SUPER_ADMIN: "超级管理员",
|
||
SUPERVISOR: "主管",
|
||
OPERATOR: "操作员",
|
||
}
|
||
|
||
|
||
def is_admin(role: str | None) -> bool:
|
||
"""role 为 None / 未知值一律视为无权限（fail-closed，不做兜底放行）"""
|
||
return role in ADMIN_ROLES
|