chore: 权限号段根治——9041-9046 并进种子；修正 grant 脚本与种子 9020-9034 的 id 映射冲突

tools/seed_test_rbac.py

@@ -1,7 +1,15 @@
 """造 RBAC 测试数据，验证真实链路身份加载与越权拦截。
 
-数据使用 9001/9002/9003 号段（角色、权限分别用 9001 起的独立号段），便于清理，
-不影响业务数据。
+数据使用 9001 起的号段（角色 9001-9003、权限 9001-9046），便于清理，不影响业务数据。
+权限码是几条线叠加出来的：9001-9019 基础能力、9020-9034 投顾线、9041-9046 投顾治理类与客服二期。
+
+⚠️ 本脚本是 **DELETE 重建**：`DELETE FROM sys_permission WHERE id BETWEEN 9001 AND 9099`
+会删掉该号段内**所有**权限（包括别的线用 `grant_*.py` 建的），再按 `PERMISSIONS` 重建，
+并且**只清 role_id 9001-9003 的角色绑定**。两个已知后果：
+
+1. 新增权限码必须并进本文件的 `PERMISSIONS`，否则重建一次就没了（表现为"接口突然 403"）；
+2. `advisor`（9004）这类不在 `ROLES` 里的角色，其绑定**不会被清** —— 若它们引用的
+   permission_id 在重建时换了语义，绑定就会指向错误的权限码。改 id→code 映射前先确认。
 
 为什么需要这份种子：权限码必须与**代码实际声明**一致——工具声明写在
 `app/service/agent/bootstrap.py`（`check_suitability` 需 `suitability:read`、
@@ -68,12 +76,27 @@ PERMISSIONS: tuple[tuple[int, str, str, str, str], ...] = (
     (9032, "product-recommendation:publish", "product-recommendation", "publish", "all"),
     (9033, "asset-allocation:backtest", "asset-allocation", "backtest", "all"),
     (9034, "product-comparison:read:self", "product-comparison", "read", "self"),
+    # ---- 9041-9046：投顾治理类 3 个 + 客服二期 3 个 ----
+    # 投顾线（`bbf623a`）已把 9020-9034 放进本种子，但漏了这 3 个治理类权限码，
+    # 而 `app/service/` 的治理接口直接要求它们 —— 缺了就是"实现了却一直 403"。
+    # 号段从 9041 起：库里曾有一批 9020-9035 是 `grant_advisor_role.py` 用旧号段建的，
+    # 与种子的 9020-9034 **id→code 映射不同**，挪到 9041 之后与两侧都不冲突。
+    (9041, "product-governance:read", "product-governance", "read", "all"),
+    (9042, "product-governance:review", "product-governance", "review", "all"),
+    (9043, "product-governance:sync", "product-governance", "sync", "all"),
+    # 客服二期（画像候选 + 转人工工单）的 3 个权限码。此前不在任何种子或迁移里，
+    # 属"环境数据"：代码合过来后若库里缺这几行，候选确认/审核与工单查看 5 个接口一律 403。
+    (9044, "memory:candidate:confirm", "memory:candidate", "confirm", "self"),
+    (9045, "memory:candidate:review", "memory:candidate", "review", "all"),
+    (9046, "handover:read", "handover", "read", "all"),
 )
 
 # 客户：业务侧自助能力（自己的会话、反馈、转人工、自己的记忆画像）。
 CUSTOMER_PERMISSIONS = (
     9001, 9002, 9003, 9004, 9005, 9006, 9007, 9008, 9009, 9011, 9018,
     9020, 9021, 9022, 9023, 9024, 9025, 9026, 9034,
+    # 客服二期：客户确认/拒绝**自己**的画像候选（服务层按 customer_id 过滤，不越权）。
+    9044,
 )
 # 风控专员：业务侧只读 + 跨客户记忆 + 审计只读，不含配置写权限。
 RISK_PERMISSIONS = (9001, 9002, 9003, 9010, 9011, 9012)