记录删除后 `sys_share_link` 能力令牌仍然有效 —— 与 #5103 同族，但因为是无身份令牌所以更糟

[os-zhuang]

实现 #5103（记录删除级联撤销 sys_record_share）时发现。未认领，归属 plugin-sharing，不在 #5103 范围内（那个 issue 的标题与裁定都明确限定在 sys_record_share）。

现象

ShareLinkService.resolveShareLink（packages/plugins/plugin-sharing/src/share-link-service.ts）逐项检查 token 是否存在、revoked_at、expires_at、audience、密码，唯独不检查 (object_name, record_id) 指向的记录是否还存在。删除记录不会撤销、也不会过期它上面的分享链接：行原样留在 sys_share_link 里，resolveShareLink 照常返回 { link, redactFields }，由调用方去读一条不存在的记录。

sys_share_link 也没有任何 afterDelete 钩子 —— #5103 补的级联只覆盖 sys_record_share。

为什么比 #5103 更严重

#5103 的孤儿行是有身份的：sys_record_share 说的是"用户 U 在记录 R 上有 L 级权限"，复用 id 时受益者仍限于那批具名收件人。分享链接是能力令牌：谁持有 token 谁就有权限，不需要是任何人。所以一旦记录 id 被复用（自定义主键、保留原 id 的导入、未来引入的 id 回收），一个早已"随记录一起消失"的链接会直接对新记录生效，而持有者可能是当初被分享过的任意外部人员。

即便没有 id 复用，次要危害同样存在：sys_share_link 单调增长；Setup 里的链接列表展示指向不存在记录的行；use_count/last_used_at 还会继续被 stamp。

建议方向

与 #5103 落点一致、代价很小的两条，建议同时做：

1. resolveShareLink 增加记录存在性检查 —— 这是 fail-closed 的那一半，不依赖任何钩子跑没跑过：记录不在了就返回 null（与 revoked/expired 同一分支，不区分，避免把"记录存在与否"泄露给未授权持有者）。
2. 记录删除时级联撤销/删除链接行 —— 记录删除后 source: 'manual' 的 sys_record_share 仍是孤儿 —— #4779 的 afterDelete 只覆盖规则共享,且只覆盖有规则的对象 #5103 已经在 record-share-cascade.ts 建好了 seam（全局 beforeDelete 暂存行集 + afterDelete 按 id 集合撤销，外加 boot 期按"记录还在不在"的清扫）。加一条 sys_share_link 的撤销走同一条路即可，不需要新机制。

注意 #5180（平台级多态弱引用级联）落地后这两条钩子可以收敛进去，但和 #5103 的理由一样：不该让授权面的孤儿等一个尚未落地的平台能力。

相关

• 记录删除后 source: 'manual' 的 sys_record_share 仍是孤儿 —— #4779 的 afterDelete 只覆盖规则共享,且只覆盖有规则的对象 #5103 / 本 PR —— sys_record_share 的记录删除级联 + boot 孤儿清扫（同一族，同一 seam）。
• 共享规则 hook 对谓词式(multi)写入不重算:if (!id) return 让 sys_record_share 授权在批量更新后变陈旧 #4779 / fix(plugin-sharing): 谓词式(multi)写入重算共享规则 —— 批量更新后 sys_record_share 不再陈旧 (#4779) #5102 —— 规则共享的谓词式重算与 afterDelete。
• [engine][设计卡] 多态弱引用挂靠表的平台级删除级联 —— sys_record_share/attachment/comment 一族的统一清理机制 #5180 —— 平台级多态级联设计卡。

[claude]

认领:PM 循环第 13 轮(identity 车道;#5196 已合,同包串行解除)
会话:session_015W6nhsDrz6zWQc8je12a1t
分支:claude/issue-5190-share-link-existence
Worktree:objectstack-issue-5190
域:domain:identity
文件面:packages/plugins/plugin-sharing/**(resolveShareLink 存在性检查 + 复用 record-share-cascade seam)+ 测试 + changeset

---

Generated by Claude Code

[claude]

PM 验收(第 13 轮接手,identity 车道):ACCEPT — PR #5214,CI 绿后转 ready 入队;本批最后一单

• 接手协议执行正确:死者提交 e2bd9fc 逐 hunk 对照规格审定(存在性探针在廉价内存门之后、用量 stamp 之前;与 revoked/expired 同分支无存在性泄露;探针抛错 fail closed;级联并入 fix(sharing): 记录删除时撤销该记录的全部 sys_record_share（不分 source）+ boot 期按记录存在性的孤儿清扫 (#5103) #5196 的既有 seam 而非平行机制),验证从零补跑
• 共享行走提取到 record-orphan-cleanup.ts 使两张表在分块/扫描上限/探针失败规则上结构性不可漂移 —— 与 fix(sharing): 记录删除时撤销该记录的全部 sys_record_share（不分 source）+ boot 期按记录存在性的孤儿清扫 (#5103) #5196 的共享谓词同一思路 ✓
• 接手 agent 自己抓到的缺口有价值:必测清单里「链接级联 × 有规则对象」一项缺失(fix(plugin-sharing): 谓词式(multi)写入重算共享规则 —— 批量更新后 sys_record_share 不再陈旧 (#4779) #5102 的规则钩子在另一包绑同名钩子、共享同一 stash 行集 —— 恰是最容易协同出错的组合),补 3 例;mutation B(强制 links=false)15 红证明非空洞
• 双 mutation 复跑(5 红 / 15 红)+ 还原核对 ✓;347/347;typecheck/eslint/durability 门禁绿;merge main 后复验 ✓
• publicSharing 与 sharingModel 正交判定、两半隔离(grants 回收出错不跳过 token)——语义边界清楚 ✓;spec/objectql 零触碰 ✓

合并后 #5103 → #5190 这条「删除级联」线完整闭环(share + link 两张表、resolve 双保险、boot 清扫)。按维护者指示,本单落地后循环暂停。

---

Generated by Claude Code