wip: 客服Agent + RAG + 画像收尾（基于 6516ccb）

tools/seed_test_rbac.py

@@ -44,10 +44,19 @@ PERMISSIONS: tuple[tuple[int, str, str, str, str], ...] = (
     (9015, "config:review", "config", "review", "all"),
     (9016, "config:activate", "config", "activate", "all"),
     (9017, "model-endpoint:manage", "model-endpoint", "manage", "all"),
+    # `query_knowledge` 工具声明该权限（`app/service/knowledge_tool.py` 的
+    # `REQUIRED_PERMISSION`）；缺失会让客服 Agent 调工具时被拒（缺少工具权限）。
+    # 补入种子以保证"重跑种子 / 换环境"后权限仍存在。
+    (9018, "knowledge:query", "knowledge", "query", "self"),
+    # 知识库**管理**面（Task 11）：上传/列表/删除三个端点统一要这个权限码
+    # （`app/service/knowledge_management_service.py` 的 `REQUIRED_PERMISSION`）。
+    # 刻意不把 `knowledge:query`（客户角色也有）复用成管理权限：那会让客户看到整库文档清单。
+    # 归属：只给 admin（ADMIN_PERMISSIONS 是全量元组，自动包含本行）。
+    (9019, "knowledge:manage", "knowledge", "manage", "all"),
 )
 
 # 客户：业务侧自助能力（自己的会话、反馈、转人工、自己的记忆画像）。
-CUSTOMER_PERMISSIONS = (9001, 9002, 9003, 9004, 9005, 9006, 9007, 9008, 9009, 9011)
+CUSTOMER_PERMISSIONS = (9001, 9002, 9003, 9004, 9005, 9006, 9007, 9008, 9009, 9011, 9018)
 # 风控专员：业务侧只读 + 跨客户记忆 + 审计只读，不含配置写权限。
 RISK_PERMISSIONS = (9001, 9002, 9003, 9010, 9011, 9012)
 # 平台管理员：管理面全套（配置发布四态 + 模型端点 + 审计）。