lzf_0626
c4f4c33fd6
记忆召回补一道能力码闸门：归属关系不等于授权
上一版把员工召回改成"按 sys_customer_assignment 归属"时，只看了**归属关系**，
没校验**能力码** —— 这留下一个我自己带出来的口子：
- 平台读他人画像/记忆的正式路径（customer_profile_service、public_platform_service）
校验的是 `memory:read:customer`（sys_permission id=9010，data_scope='own_customers'）
+ `customer_ids`；
- 而召回是**另一条**把客户记忆送进模型上下文的路径，只按归属放行，等于让
"有归属行但没有该权限"的账号（例如 operator：只有 financial:nl2sql:read
+ offsite:write）凭空获得读他人客户记忆的能力 —— 它上一版之前是读不到的。
现改为**两个条件都满足才放行**（缺一即失败关闭，并在日志里分开点名"缺能力码"
与"归属未维护"，避免运维在错误的表上找问题）：
① `memory:read:customer` 在 context.permissions 里；
② 客户落在 context.customer_ids（sys_customer_assignment 生效行）内。
演示账号不受影响：9002(risk_operator)、9020(advisor)、9003(admin) 三个角色都持有该权限码，
真实身份链路复验 9020 仍是"修复前 0 条 → 修复后 2 条"。
测试：tests/unit/core/test_memory_scope.py +3 条（缺能力码读不到／能力码与归属是"与"关系／
现有用例补上能力码），tests/unit/service/test_agent_governance.py 同步。
`pytest tests/unit tests/contract` → 1448 passed, 2 skipped, 1 failed
（唯一失败仍是组员正在改的投顾页面）。
2026-09-14 21:40:05 +08:00
..
2026-09-14 18:13:10 +08:00
2026-09-09 21:55:37 +08:00
2026-09-14 18:13:10 +08:00
2026-09-14 21:40:05 +08:00
2026-09-11 20:22:59 +08:00