Register U3A backend-capability-explanation sub-unit

Why: U1/U2/U7 done; U3 can start per dependency chain U1→U2→U7→U3→U4→U5→U6. U3 splits into U3A (Backend extension DTO + HTTP endpoint + error categorization) and U3B (RDM projectFailure integration). Evidence: U7 child card .task/feature-iam-role-permission-linked-capabilities-u7-canonical-two-trees.md (RDML1 d8cfc707, full RDM chain green). Impact: U3A dispatch ready; targets Backend explanation interface. Refs: plan revision 3 U3; PR #628.
2026-10-19 12:08:30 +00:00
parent 9d7299c114
commit 3fe799d01b
2 changed files with 87 additions and 1 deletions
@@ -0,0 +1,85 @@
+# feature/iam-role-permission-linked-capabilities-u3a-backend-capability-explanation 任务卡
+
+任务主记录：<PR 链接，交付前填写>；状态：进行中；owner：weichen
+
+## 基线与授权
+
+- 权威仓：ssh://git-ssh.u1680832.nyat.app:31411/weichen/Agent-System-Dev.git；目标分支：main；R0（initial_base_sha）= 7716b28cfff5200e7cfe9ec75aff5bcd71b234ed
+- 工作区：/home/weichen/projects/Agent-System-Dev-wt-feature-iam-role-permission-linked-capabilities（worktree）；分支：feature/iam-role-permission-linked-capabilities
+- 分支类型：child；initiative_id：feature-iam-role-permission-linked-capabilities；root_target：main；immediate_target：feature/iam-role-permission-linked-capabilities；accepting_requirements：false；parent_branch：feature/iam-role-permission-linked-capabilities；parent_head_sha：9d7299c；parent_pr：PR #628
+
+- 授权与交付终点：U3 拆分后第一个子单元 U3A（Backend）；目标 Backend `pkg/extension/` + `internal/authz/` + `internal/app/` + `internal/server/` + `internal/store/`；不开 PR、不入 main；不动 RDM / Frontend / Documents / Dev；不动 U3B 路径（RDM projectFailure / 权限解释）。
+- 交付模式：goal-first
+- 实施执行：agent-per-unit（配置：AGENT-EXECUTION.md）
+- 合入执行：agent（已授权交付范围内，Review 通过、冲突解决且当前 HEAD 的 CI 通过后合入）
+- 当前阶段：实施单元已登记，待 agent 派发
+- 流程依据：仓库根目录 policy/delivery.md；父 L1 charter 见 `.task/feature-iam-role-permission-linked-capabilities.md`
+
+## 目标与非目标
+
+**目标**：让 Backend 通过 extension DTO 与 HTTP 端点暴露完整的能力解释（自身创建能力、关联来源、成员基础协作、文档资格）；错误分类（409 / 403 / 404 / 503）；不泄露他人存在性。
+
+**范围**：见单元包 allowed_paths。
+
+**非目标**：
+- 不动 RDM / Frontend / Documents / Dev。
+- 不引入新数据库表。
+- 不削弱既有拒绝。
+- 不修改 created_by 不可变性。
+- 不删除 `CapabilityAssociation` / `MigrationNote` / `LinkedCapabilities` 既有扩展。
+
+**验收条件**：方案 R6/R9 既有不退化；新表覆盖能力解释、成员基础协作解释、文档资格解释、4 类错误分类、未授权调用无信息泄露。
+
+## 关联方向与规划
+
+- 主记录：方案 revision 3 `/tmp/iam-role-permission-plan-20261019-sqfu_4g4/plan.md` U3
+- 前置：U1 capability-association（Backend afb65c5）+ U2 single-role-authority（RDM 8725ed3）+ U7 canonical-two-trees（RDM d8cfc707）
+- 后继：U3B sub-unit（RDM projectFailure / 权限解释）
+
+## 阶段记录
+
+| 阶段 | 对象版本 | 状态 | 决策/执行者 | 时间 | 依据 |
+|---|---|---|---|---|---|
+| 需求拆解 | 本卡 | 已完成 | host | 2026-10-19 | U3 拆分决定 |
+| 需求评估 | 本卡 | 已完成 | host | 2026-10-19 | U1/U2/U7 全部完成结果 |
+| 需求表确认 | 本卡 | 已完成 | host | 2026-10-19 | 范围 |
+| 方案设计 | 单元包 JSON | 已完成 | host | 2026-10-19 | KTD1/KTD2/KTD6 |
+| 实施计划 | 单元包 JSON | 已完成 | host | 2026-10-19 | allowed_paths/verification/timeout_seconds |
+| 实施与自检 | 待 worker | 待执行 | — | — | `scripts/agent-exec run` |
+| 正式测试与验收 | 待 worker 自检 + host 验证 | 待执行 | — | — | 子单元验证 + 既有不退化 |
+| 代码 Review | 待独立会话 | 待执行 | — | — | fresh session, `--role review` |
+| 合入 | 待 host | 待执行 | — | — | Backend L1 transport apply + Dev gitlink bump |
+| 合入核验与收口 | 待 host | 待执行 | — | — | L1 PR #628 base gate |
+
+## 同步记录
+
+| 节点 | sync_base_sha | tested_head_sha | checked_at |
+|---|---|---|---|
+| 启动 | 9d7299c | 9d7299c | 2026-10-19T10:55:00Z |
+
+## 证据（Evidence）
+
+| 时间(UTC) | 命令 | 被测HEAD | exit | 来源 | sha256(16) |
+|---|---|---|---|---|---|
+
+## Agent 实施收据
+
+| 单元 ID | 预期范围 | 配置摘要 | 角色 | 候选顺序 | attempt | CLI/模型 | 终态 | transport | fallback | 源码外收据路径 |
+|---|---|---|---|---|---|---|---|---|---|---|
+| iam-link-u3a | Backend `pkg/extension/` + `internal/authz/` + `internal/app/` + `internal/server/` + `internal/store/` | AGENT-EXECUTION.md digest=6c019595 (Backend dev-manager pin via Dev L1 子分支) | implementation | [cursor, antigravity, pi] | 1 | 待记录 | 待记录 | 待记录 | 否 | 待记录 |
+
+## 结果与验证（完成后填写）
+
+- 结果：
+- 验证：PASS/FAIL/SKIP/NOT_RUN 逐项
+- 影响与剩余项：
+
+## 合入与清理
+
+- Review 记录：NOT_RUN
+- 冲突记录：NOT_RUN
+- CI 记录：NOT_RUN
+- 合入记录：NOT_RUN
+- 清理记录：NOT_RUN
+
+<!-- Local receipt: SELF. Digests detect corruption; they do not authenticate a reviewer or CI. -->
@@ -70,7 +70,8 @@
 | feature/iam-role-permission-linked-capabilities-u7b-b-doc-visibility-cockpit-body | 是 | 已完成（RDM L1 子分支 83dd244c 推送；4 项 plugins/rdm 测试预期失败待 U7B-C 修复） | —（child 不开 PR） | U7B-B（U7B 拆分） | RDM `internal/rdmapp/{doc_visibility,cockpit,render_submission,private_doc_views_test,resource_authz_test,queued_publication_revocation_test,draft_visibility_test,knowledge_publication_test,perms_api,member_search_test,*_test}.go` |
 | feature/iam-role-permission-linked-capabilities-u7b-c-plugins-rdm-tests | 是 | 已完成（RDM L1 子分支 d8cfc707 推送，plugins/rdm 测试全绿） | —（child 不开 PR） | U7B-C（U7B 拆分） | `plugins/rdm/*` |
 | feature/iam-role-permission-linked-capabilities-u7c-knowledge-and-doc-shared-reads | 是 | 待登记（U7A 完成后） | —（child 不开 PR） | U7C（U7 拆分） | RDM `internal/rdmapp/{private_doc_views_test,resource_authz_test,queued_publication_revocation_test,draft_visibility_test,iam_i1_*,e2e_test,knowledge_publication_test}.go` + 两树一网共享读取 |
-| feature/iam-role-permission-linked-capabilities-u3-capability-exposure | 是 | 待启动 | — | U3 | Backend/RDM 解释接口、HTTP/command 错误分类、创建/添加成员/对话失败原因；KTD1/KTD2/KTD6 |
+| feature/iam-role-permission-linked-capabilities-u3-capability-exposure | 是 | 已登记子单元卡片 U3A，待 U3A 完成后再启 U3B | — | U3 | Backend/RDM 解释接口、HTTP/command 错误分类、创建/添加成员/对话失败原因；KTD1/KTD2/KTD6 |
+| feature/iam-role-permission-linked-capabilities-u3a-backend-capability-explanation | 是 | 已登记卡片，待 agent 派发 | —（child 不开 PR） | U3A（U3 拆分） | Backend `pkg/extension/` + `internal/authz/` + `internal/app/` + `internal/server/` + `internal/store/` |
 | feature/iam-role-permission-linked-capabilities-u4-frontend-auto-discover | 是 | 待启动 | — | U4 | Frontend `RolePermissionsPanel.tsx`、`AccountUsersPanel.tsx`、`adminRdmSections.tsx`、`TaskSidebar.tsx`、`App.tsx`、`store.ts`、`api.ts`、`rolePermissions.ts`、`projectmeta.ts`；KTD9；C13-C15/C19-C21/C23 |
 | feature/iam-role-permission-linked-capabilities-u5-integration-tests | 是 | 待启动 | — | U5 | 复用 Backend `project_lifecycle_test.go`/`role_authorization_test.go`、RDM `system_projects_test.go`/`project_creator_permissions_test.go`/`member_guards_test.go`/`role_provider_test.go`、Frontend 角色/成员/项目测试；新增浏览器双账号场景；不搭新测试框架；C01-C31 全集 |
 | feature/iam-role-permission-linked-capabilities-u6-delivery | 否 | 待启动 | — | U6 | host 主导：同步、Review、CI、PR 合入、迁移/部署按单独授权执行；更新相关旧权限/项目规格 |