spec: 给视图 bulkActionDefs 开 requiredPermissions 键——console 批量条渲染层早就按它过滤了,只是 schema 不让写

[baozhoutao]

一句话

列表批量操作条的按钮无法按权限集显隐,而卡点只在 spec 的 BulkActionDefSchema 少了 requiredPermissions 键 —— console 的批量条渲染层本来就在按这个键过滤,和行动作用的是同一套。

三点实测(17.0.0-rc.5)

① 声明侧堵死

视图 bulkActionDefs 里内联写 requiredPermissions,compile 硬失败(不是静默剥离):

Unrecognized key(s) on this bulk action definition: `requiredPermissions`.
Until #4457 the whole array was z.array(z.record(z.string(), z.any())) —
every key parsed, so a mis-spelled one shipped as a button that silently
ran the DEFAULT behaviour (or none at all).

BulkActionDefSchema 顶层键实测:

name / label / icon / variant / operation / execution / patch / params /
confirmText / confirmLabel / visible / maxRecords / batchSize / condition / style

(严格化本身是好事 —— #4457 那个动机完全成立。只是这一版把 requiredPermissions 漏掉了。)

② 渲染侧其实已经支持

@objectstack/console plugin-grid,批量条组件与行动作组件是同一套过滤:

// 批量条
const p = useMemo(() => (actionDefs ?? []).filter(e => f(e?.requiredPermissions)), [actionDefs, f]);
// 行动作(同一文件,同一个 hook)
const h = useMemo(() => (rowActionDefs ?? []).filter(e => m(e?.requiredPermissions)), [rowActionDefs, m]);

能力门的代码就在那儿,只是没有合法的声明能喂给它。

③ 换声明位置能绕过去,而且确实生效

把按钮定义成对象 actions[](那里 requiredPermissions 合法),视图 bulkActionDefs 只写 { name, operation: 'custom', execution: 'aggregate' } 同名引用 —— 合并函数会把 requiredPermissions 原样带进 bulk def。

真机实测(设备列表,admin 勾 1 行):

按钮	requiredPermissions	admin 看到
批量导出二维码	无	✅ 显示
探针 A	无	✅ 显示
探针 B	['<一个不存在的能力>']	❌ 被挡掉

⇒ 门确实生效,admin 也不豁免(与导航项 requiredPermissions 同语义)。

为什么绕法不够用

该合并路径要求 operation === 'custom' && execution === 'aggregate',operation 随后被写死成 custom。也就是说:

• 要能力门 → 按钮必须是 custom 动作,自己调接口按 _selectedIds 处理
• 要 operation: 'update' + patch 的声明式批量改字段 → 只能内联,没有能力门

二选一。我们这边四个批量按钮(批量设置责任人 / 下推 / 转派 / 批量删除)全是声明式 update 写法,为了加个显隐门要把三条已经稳定的批量写链路整体重写 + 重测 —— 收益/风险倒挂,所以没做。

期望

给 BulkActionDefSchema 加一个可选的 requiredPermissions?: string[]。渲染层不用动。

这样声明式批量更新和能力门就能同时拥有,现有的 def 各加一行即可。

实际影响

排班计划列表的 4 个批量按钮对所有能进该列表的人全部可见,无权者点下去才被服务端 hook 逐条拒。用户反馈的就是这个体验 —— 「看得见一堆跟自己无关的操作,点了才知道不行」。

版本

• @objectstack/* 17.0.0-rc.5

[baozhoutao]

接手了。诊断与你完全一致，修法也就是你要的那一行 —— 代码已写完并推到 objectstack-ai/objectstack claude/bulk-action-required-permissions（我在平台仓开的同题单是 objectstack-ai/objectstack#6257，两单合并处理）。

改动

BulkActionDefSchema（packages/spec/src/ui/bulk-action.zod.ts）加一个可选 requiredPermissions?: string[]，语义与 action.requiredPermissions 逐字一致：缺省/空数组恒通过、多个取 AND、客户端解析不出调用者能力时 fail-open（服务端为准）。渲染层一行没动，正如你查证的那样它早就在按这个键过滤。

showcase UI 真机实测（不是只跑单测）

夹具留在 showcase 里了 —— examples/app-showcase/src/ui/views/project.view.ts 新增 archive_projects，正是你说的那种「声明式 operation: 'update' + patch」写法，不是 custom/aggregate 绕法：

{
  name: 'archive_projects',
  label: 'Archive (gated)',
  operation: 'update',
  patch: { status: 'archived' },
  requiredPermissions: ['showcase.restricted_ops'],
}

showcase.restricted_ops 是本示例里定义了但不授予任何权限集的能力（src/security/capabilities.ts），所以它必须对所有人不可见。

跑起 showcase + console，勾选全部 5 条项目，做可证伪的 A/B（只有「消失」不算证据）：

声明	批量条上的按钮
requiredPermissions: ['showcase.restricted_ops']	Set Labels / Assign Team / Reassign Account / Reschedule —— Archive (gated) 不在
临时改成 requiredPermissions: []	Set Labels / Archive (gated) / Assign Team / Reassign Account / Reschedule
改回 ['showcase.restricted_ops']	又回到 4 个，Archive 再次消失

同一个 def、同一批记录、同一个用户，只改声明 —— 证明门是活的，链路是 spec 接受 → 元数据带出 → 批量条过滤。admin 也不豁免，与你实测的结论一致。

其它

• spec 侧 6 条 schema 测试（delete 自带门 / 多个取 AND / 空声明 / 可选性回归 / update 与 aggregate 两形态 / 非数组拒绝）；@objectstack/spec 全量 8457 passed。
• showcase validate exit 0（同一份写法此前报 Unrecognized key）、typecheck 通过、146 tests passed、i18n 棘轮无增长。
• 你「绕法不够用」那段判断准确：合并路径要求 operation === 'custom' && execution === 'aggregate' 且随后把 operation 写死成 custom，所以声明式 update 拿不到门。这正是本改动要解决的。

PR 待仓库维护者确认后开。

🤖 Generated with Claude Code

[claude]

Triage: closing as a duplicate of objectstack#6257 — converged, not dismissed.

Same gap, same fix, same file: BulkActionDefSchema in packages/spec/src/ui/bulk-action.zod.ts is .strict() and has no requiredPermissions, while the console's bulk bar already filters on that key. objectstack#6257 was filed ~10 minutes before this one and is in the repo the fix lands in.

Why objectstack and not here. The change is entirely inside packages/spec, and the protocol gives shared contract surfaces exactly one owner — the domain:spec seat in objectstack — regardless of which repo noticed the gap. objectstack#6257 now carries pm:queue + domain:spec. Nothing lands in objectui: the renderer side already shipped via #3492 / #3548 (d915c47), which is what makes the spec key additive.

Your evidence was carried over, not lost. I copied the three things this report has that objectstack#6257 does not, into a comment there:

• the real-machine probe (device list, admin, 17.0.0-rc.5): a bulk button declaring a nonexistent capability is filtered out, and admin is not exempt — so the gate demonstrably works and only the declaration is missing;
• the precise limit of the documented workaround: the merge path requires operation === 'custom' && execution === 'aggregate' and then pins operation to custom, so a declarative operation: 'update' + patch button and a capability gate are mutually exclusive today;
• the user-visible impact: four declarative bulk buttons (reassign / push-down / transfer / bulk delete) visible to everyone who can open the list, rejected per-record by a server hook only after the click.

Follow objectstack#6257 for the fix. Closing here so one thing has exactly one dispatch entry — two open entries for one change is how the same work gets done twice.

本评论来自分诊座位 Routine（#5474 试点），不构成认领。

---

Generated by Claude Code

[baozhoutao]

更正上一条：那条评论提到的分支已被删除，代码不复存在，接手请从零实现。

上一条评论里说「代码已推到 objectstack claude/bulk-action-required-permissions」——那个分支已按维护者要求删掉了，不要去找。下面是全部所需信息，不依赖任何已删内容。

改哪一行

仓库 objectstack-ai/objectstack，文件 packages/spec/src/ui/bulk-action.zod.ts，给 BulkActionDefSchema 的字段列表加一个可选键：

requiredPermissions: z.array(z.string()).optional()

语义与 action.requiredPermissions 逐字一致：缺省/空数组恒通过、多个取 AND、客户端解析不出调用者能力时 fail-open（服务端为准）。

渲染层一行都不用改——objectui 的 BulkActionBar 早就在按这个键过滤（本 issue 正文第 ② 点已查证），BulkActionDef 类型也已有该字段（objectui#3548 已合进 main）。

三个容易漏的配套

1. 构建会重新生成 packages/spec/authorable-surface/ui.json（多出 ui/BulkActionDef:requiredPermissions 一行），必须一并提交，否则基线检查红。
2. 碰了 packages/ 就必须加 changeset（@objectstack/spec patch）；只碰 examples/ 才可以用 skip-changeset 标签。
3. 若在 examples/app-showcase 加夹具，新声明的 label 必须当场补 zh-CN 翻译（src/system/translations/index.ts），否则 check-i18n-coverage 棘轮上涨、CI 红。

验证方式（已实测可行）

在 examples/app-showcase/src/ui/views/project.view.ts 的 bulkActionDefs 加一条声明式按钮（正是本 issue 说的那种，不是 custom/aggregate 绕法）：

{ name: 'archive_projects', label: 'Archive (gated)', operation: 'update',
  patch: { status: 'archived' }, requiredPermissions: ['showcase.restricted_ops'] }

showcase.restricted_ops 要在 src/security/capabilities.ts 用 defineCapability 声明成一个不授予任何权限集的能力——这样它必须对所有人不可见，夹具才可证伪。

起 showcase 后端与 objectui console dev（console 的 .env.development 硬编码了 VITE_SERVER_URL=http://localhost:3000，必须显式覆盖成你的端口，否则会连到别的后端），用 admin@objectos.ai / admin123 登录，进项目列表勾选记录看批量条，做 A/B：

声明	期望
['showcase.restricted_ops']	Archive (gated) 不出现
改成 []	Archive (gated) 出现

只看「消失」不算证据，两个方向都要跑到。实测结论：链路是通的（spec 接受 → 元数据带出 → 批量条过滤），且 admin 不豁免。

🤖 Generated with Claude Code