Record U2B completion; mark U2 (U2A+U2B) completed

Why: U2B (RDM system-projects-and-plugins) succeeded with cursor-agent attempt 1 (run_id=d7b60010…) terminal_status=success; transport refs/agent-exec/d7b60010…/aafb85b82f70 fast-forwarded to feature/iam-link-u2-single-role-authority @ 8725ed3f on Agent-System-RDM, then pushed to origin. Combined with U2A (1d9de398), U2 implementation is complete.

Evidence: U2B run receipt /tmp/iam-link-u2b-run.json terminal_status=success, transport.commit=8725ed3fe005106fc0693ee58a7d32dd3553d2d3; U2B verify receipt /tmp/iam-link-u2b-verify-20261019.json (perms+rdmapp+dhffidelity+dhfmatrix+plugins/rdm all-ok).

Impact: U2 implementation complete (U2A perms + U2B system-projects-and-plugins); RDM L1 branch @ 8725ed3f has the cumulative changes; L1 PR #628 base gate remains for Dev gitlink bump + independent Review; U3-U6 remain blocked on U7 which depends on U2.

Refs: plan revision 3 U2; PR #628.

.task/feature-iam-role-permission-linked-capabilities-u2-single-role-authority.md

@@ -12,7 +12,7 @@
 - 交付模式：goal-first
 - 实施执行：agent-per-unit（配置：AGENT-EXECUTION.md）
 - 合入执行：agent（已授权交付范围内，Review 通过、冲突解决且当前 HEAD 的 CI 通过后合入）
-- 当前阶段：实施单元待派发
+- 当前阶段：U2A + U2B 双子单元均已完成（RDML1 8725ed3 已推远端）；U2 本身仍待 host 在 RDM L1→main 合入 + Dev `modules/rdm` gitlink bump + 独立 Review
 - 流程依据：仓库根目录 policy/delivery.md；父 L1 charter 见 `.task/feature-iam-role-permission-linked-capabilities.md`
 
 ## 目标与非目标
@@ -58,11 +58,11 @@
 | 需求表确认 | 本卡 | 已完成 | host | 2026-10-19 | U2-R1..U2-R5 |
 | 方案设计 | 单元包 JSON | 已完成 | host | 2026-10-19 | KTD7 |
 | 实施计划 | 单元包 JSON | 已完成 | host | 2026-10-19 | allowed_paths/verification/timeout_seconds |
-| 实施与自检 | cursor-agent attempt 1 (failed-unknown) + attempt 2 (scope-expansion) + attempt 3 (failed-unknown) | 三试全 fail-stop，cursor 候选耗尽 | cursor-agent | 2026-10-19 | attempt 1 13 文件 1111+/180- 改动完成但 worker 未输出有效终态记录；attempt 2 在受限 allowed_paths 下主动返回 scope-expansion 列出真实需要的额外路径与 pins 物化；attempt 3 已按 attempt 2 列表扩充 allowed_paths 到 49 个（含 `projects_api`、`project_resource_authz`、`settings_duties`、`runtime` 与 pins/ 子模块），仍以 failed-unknown 结束 |
-| 正式测试与验收 | NOT_RUN |  |  |  | 本会话不再尝试 |
-| 代码 Review | NOT_RUN |  |  |  |  |
-| 合入 | NOT_RUN |  |  |  | 后续会话拆分 U2 或重设计单元包后再试 |
-| 合入核验与收口 | NOT_RUN |  |  |  |  |
+| 实施与自检 | U2 cursor 3/3 fail-stop 后拆 U2A + U2B 双子单元均成功 | RDM `8725ed3f` | cursor-agent | 2026-10-19 | U2A (run_id 255b63b7) = success @ 1d9de398；U2B (run_id d7b60010) = success @ 8725ed3f |
+| 正式测试与验收 | RDM `8725ed3f` SELF | PASS | host | 2026-10-19 | perms + rdmapp + dhffidelity + dhfmatrix + plugins/rdm 全 ok |
+| 代码 Review | 待独立会话 | 待执行 | — | — | fresh session, `--role review` |
+| 合入 | 待 host | 待执行 | — | — | RDM L1→main 合入 + Dev `modules/rdm` gitlink bump |
+| 合入核验与收口 | 待 host | 待执行 | — | — | L1 PR #628 base gate |
 
 ## 同步记录
 
@@ -79,21 +79,19 @@
 
 | 单元 ID | 预期范围 | 配置摘要 | 角色 | 候选顺序 | attempt | CLI/模型 | 终态 | transport | fallback | 源码外收据路径 |
 |---|---|---|---|---|---|---|---|---|---|---|
-| iam-link-u2 | RDM `internal/perms`、`internal/rdmapp/{perms_api,system_projects,member_search,projects_api,project_resource_authz,settings_duties,runtime,iam_i1_*,e2e,accountdir,*}`、`plugins/rdm/{system_projects,plugin,iam_i1_*,member_search,member_api,perm_matrix,roles,register_v2,account_directory,duty_member_check,*}`、`pins/{agent-document-renderer,agent-system-{backend,core,frontend,ui,kb-regulations}}` | AGENT-EXECUTION.md digest=bd3a7de57a3a9e1a4495b94c5fa5c08d71e7be8c (RDM dev-manager pin) | implementation | [cursor, antigravity, pi] | 1+2+3 | cursor-agent-stable 2026.10.14-0f9edde | attempt 1=failed-unknown, attempt 2=scope-expansion, attempt 3=failed-unknown；cursor 候选耗尽；后续会话拆子单元或启 agy/PI/codex 紧急 | 无 | 否 | /tmp/iam-link-u2-run.json (run_id 58bf349c… + f88af22e… + 004a0ddb…) |
+| iam-link-u2 | RDM `internal/perms`、`internal/rdmapp/{perms_api,system_projects,member_search,projects_api,project_resource_authz,settings_duties,runtime,iam_i1_*,e2e,accountdir,*}`、`plugins/rdm/{system_projects,plugin,iam_i1_*,member_search,member_api,perm_matrix,roles,register_v2,account_directory,duty_member_check,*}`、`pins/{agent-document-renderer,agent-system-{backend,core,frontend,ui,kb-regulations}}` | AGENT-EXECUTION.md digest=bd3a7de57a3a9e1a4495b94c5fa5c08d71e7be8c (RDM dev-manager pin) | implementation | [cursor, antigravity, pi] | 1+2+3 (split→U2A attempt 1 failed-unknown + U2A attempt 2 success @ 1d9de398 + U2B attempt 1 success @ 8725ed3f) | cursor-agent-stable 2026.10.14-0f9edde | U2A+U2B 累计 completed (success) | U2A refs/agent-exec/255b63b7…/537daf57a809 (RDM 1d9de398) + U2B refs/agent-exec/d7b60010…/aafb85b82f70 (RDM 8725ed3f) | 否 | /tmp/iam-link-u2-run.json + /tmp/iam-link-u2a-run.json + /tmp/iam-link-u2b-run.json |
 
 ## 结果与验证（完成后填写）
 
-- 结果：cursor 三次尝试均 fail-stop，未产生可应用 transport；cursor 候选按治理耗尽（3/3）。
-  - attempt 1 (run_id=58bf349c…) terminal=failed-unknown；worktree 留 13 文件 1111+/180- 改动（perms/perms+role_provider 等 + rdmapp/perms_api 等 + plugins/rdm/system_projects 等），agent evidence 自报 16 项新测试全 PASS（perms 6 + rdmapp 10）+ 既有不退化，唯一失败 `TestRenderProfileCandidateAnalyzeCannotReachPublication` 为 worktree 缺 `pins/agent-document-renderer` 子模块。
-  - attempt 2 (run_id=f88af22e…) terminal=scope-expansion；合法识别 allowed_paths 太窄，列出真实需要扩 `internal/rdmapp/{projects_api,project_resource_authz,settings_duties,runtime}.go` + `iam_i1_*`、`e2e`、plugin 测试 + `pins/` 物化。
-  - attempt 3 (run_id=004a0ddb…) terminal=failed-unknown；按 attempt 2 列表把 allowed_paths 扩到 49（含 `projects_api`、`project_resource_authz`、`settings_duties`、`runtime` 与 6 个 `pins/*`），但 worker 又以 failed-unknown 结束（同样症状：worker 报告完成但未输出有效 JSON 终态记录）。
-- 验证：NOT_RUN（cursor 候选耗尽无成功 transport；attempt 1/3 改动未应用）
+- 结果：U2 拆分 U2A + U2B 后均成功。RDM L1 子分支 `feature/iam-link-u2-single-role-authority` 累积到 `8725ed3f`（U2A `1d9de39` + U2B `8725ed3f`），已推远端。
+- 验证：PASS
+  - U2A 验证（见 U2A 子任务卡）：6 项新表 + 既有不退化
+  - U2B 验证（见 U2B 子任务卡）：ready/legacy/首请求/停用/schema/缺 provider/actor 错 + 既有不退化
+  - 累计 `internal/perms` + `internal/rdmapp` + `plugins/rdm` 全包测试 OK；`go vet` exit=0；`git diff --check` exit=0
 - 影响与剩余项：
-  - cursor 候选已耗尽（3/3），未启 codex 紧急（按 `policy/delivery.md` 显式 fail-stop 规则）。
-  - 后续会话二选一：
-    1. 改派 agy（normal 候选），新工作区独立判断。
-    2. 拆 U2 为更小单元（建议拆 A：`internal/perms` + `internal/rdmapp/{perms_api,member_search}`；B：`system_projects`/`projects_api`/`project_resource_authz`/`settings_duties`/`runtime`）分别派发；每个子单元 allowed_paths 严格收敛。
-  - U3-U6 仍依赖 U2 终态。
+  - 独立 Review 待 fresh session `--role review`（同时覆盖 U2A+U2B）
+  - Dev `modules/rdm` gitlink bump + RDM L1→main 合入待 host 后续
+  - U2 终态；按依赖链 U7 → U3 → U4 → U5 → U6 顺次
 
 ## 合入与清理
 

.task/feature-iam-role-permission-linked-capabilities-u2b-system-projects-and-plugins.md

@@ -44,10 +44,10 @@
 | 需求表确认 | 本卡 | 已完成 | host | 2026-10-19 | 范围 |
 | 方案设计 | 单元包 JSON | 已完成 | host | 2026-10-19 | KTD7 + U2A 接口稳定 |
 | 实施计划 | 单元包 JSON | 已完成 | host | 2026-10-19 | allowed_paths/verification/timeout_seconds |
-| 实施与自检 | 待 worker | 待执行 | — | — | `scripts/agent-exec run` |
-| 正式测试与验收 | 待 worker 自检 + host 验证 | 待执行 | — | — | 子单元验证 + 既有不退化 |
+| 实施与自检 | RDM `8725ed3f` (transport `d7b60010…/aafb85b82f70`) | 已完成 | cursor-agent-stable | 2026-10-19 | `scripts/agent-exec run` terminal_status=success，9 文件改动全在 allowed_paths |
+| 正式测试与验收 | RDM `8725ed3f` SELF | PASS | host | 2026-10-19 | `make evidence` exit=0，perms + rdmapp + dhffidelity + dhfmatrix + plugins/rdm 全 ok |
 | 代码 Review | 待独立会话 | 待执行 | — | — | fresh session, `--role review` |
-| 合入 | 待 host | 待执行 | — | — | RDM L1 transport apply + Dev gitlink bump |
+| 合入 | 待 host | 待执行 | — | — | RDM L1 transport apply 已完成；待 host 后续 bump Dev `modules/rdm` gitlink |
 | 合入核验与收口 | 待 host | 待执行 | — | — | L1 PR #628 base gate |
 
 ## 同步记录
@@ -65,13 +65,30 @@
 
 | 单元 ID | 预期范围 | 配置摘要 | 角色 | 候选顺序 | attempt | CLI/模型 | 终态 | transport | fallback | 源码外收据路径 |
 |---|---|---|---|---|---|---|---|---|---|---|
-| iam-link-u2b | RDM `internal/rdmapp/{system_projects,projects_api,project_resource_authz,settings_duties,runtime,iam_i1_*,e2e,project_creator_*}` + `plugins/rdm/{plugin,system_projects,iam_i1_*,member_search,member_api,perm_matrix,roles,register_v2,account_directory,duty_member_check,*}` + `pins/{agent-document-renderer,agent-system-{backend,core,frontend,ui,kb-regulations}}` | AGENT-EXECUTION.md digest=bd3a7de57a3a9e1a4495b94c5fa5c08d71e7be8c | implementation | [cursor, antigravity, pi] | 1 | 待记录 | 待记录 | 待记录 | 否 | 待记录 |
+| iam-link-u2b | RDM `internal/rdmapp/{system_projects,projects_api,project_resource_authz,settings_duties,runtime,iam_i1_*,e2e,project_creator_*}` + `plugins/rdm/{plugin,system_projects,iam_i1_*,member_search,member_api,perm_matrix,roles,register_v2,account_directory,duty_member_check,*}` + `pins/{agent-document-renderer,agent-system-{backend,core,frontend,ui,kb-regulations}}` | AGENT-EXECUTION.md digest=bd3a7de57a3a9e1a4495b94c5fa5c08d71e7be8c | implementation | [cursor, antigravity, pi] | 1 | cursor-agent-stable 2026.10.14-0f9edde | completed (success) | refs/agent-exec/d7b600104b48526d567d47a4626cc9dd/aafb85b82f70 → RDM commit 8725ed3fe005106fc0693ee58a7d32dd3553d2d3 | 否 | /tmp/iam-link-u2b-run.json (run_id d7b60010… attempt 1) |
 
 ## 结果与验证（完成后填写）
 
-- 结果：
-- 验证：PASS/FAIL/SKIP/NOT_RUN 逐项
+- 结果：U2B 实施成功。RDM L1 子分支 `feature/iam-link-u2-single-role-authority` @ `8725ed3f` 已推送（Agent-System-RDM origin）；与 U2A（`1d9de39`）累积。9 文件改动 1138+/116-，分布：
+  - `internal/rdmapp/system_projects.go` +65（system_projects 入口切到 `RoleAuthority`）
+  - `internal/rdmapp/system_projects_test.go` +405（新表覆盖 ready/legacy/首请求/停用/schema 错/缺 provider/actor 错）
+  - `internal/rdmapp/projects_api.go` +128/-（projects_api 入口接入）
+  - `internal/rdmapp/projects_api_test.go` +147
+  - `internal/rdmapp/runtime.go` +5
+  - `internal/rdmapp/settings_duties.go` +2
+  - `plugins/rdm/plugin.go` +110/-（plugin 总入口切到 `RoleAuthority`，命令总线改用 request binding）
+  - `plugins/rdm/system_projects.go` +2
+  - `plugins/rdm/system_projects_test.go` +390
+- 验证：PASS
+  - `internal/perms`：ok（U2A 7 项新表不变 + 既有不退化）
+  - `internal/rdmapp`：ok（77.5s，含既有 + U2A + U2B 新表）
+  - `internal/rdmapp/dhffidelity` / `dhfmatrix`：ok
+  - `plugins/rdm`：ok（2.7s）
+  - `go vet ./internal/... ./plugins/...` exit=0；`git diff --check` exit=0
 - 影响与剩余项：
+  - 独立 Review 待 fresh session `--role review` 同时覆盖 U2A+U2B
+  - Dev `modules/rdm` gitlink bump + RDM L1→main 合入待 host 后续
+  - U2 完成；按依赖链 U7 下一
 
 ## 合入与清理
 

.task/feature-iam-role-permission-linked-capabilities.md

@@ -60,9 +60,9 @@
 | 子任务分支 | 必需 | 状态 | PR | 单元 | 范围摘要 |
 |---|---|---|---|---|---|
 | feature/iam-role-permission-linked-capabilities-u1-capability-association | 是 | 已完成（Backend 子分支 afb65c5 推送，Dev gitlink bump 待 host；独立 Review 待 fresh session） | —（child 不开 PR） | U1 | Backend `internal/authz/catalog`、`internal/store/role_policy`、公开扩展 DTO；RDM `internal/perms/role_provider.go` 与创建能力判定；KTD1/KTD3/KTD4；C06/C08/C09/C10 |
-| feature/iam-role-permission-linked-capabilities-u2-single-role-authority | 是 | blocked（cursor 3/3 fail-stop；拆分为 U2A 与 U2B 两个子单元重新派发；U2A 已成功，U2B 待派发） | —（child 不开 PR） | U2 | RDM `perms_api.go`、`system_projects.go`、`plugins/rdm/{system_projects,plugin}.go`；Backend `hostcaps.go`；KTD7；C22 |
+| feature/iam-role-permission-linked-capabilities-u2-single-role-authority | 是 | 已完成（U2A + U2B 双子单元均 success；RDM L1 子分支 8725ed3 已推远端；待 Dev gitlink bump + 独立 Review） | —（child 不开 PR） | U2 | RDM `perms_api.go`、`system_projects.go`、`plugins/rdm/{system_projects,plugin}.go`；Backend `hostcaps.go`；KTD7；C22 |
 | feature/iam-role-permission-linked-capabilities-u2a-perms-and-perms-api | 是 | 已完成（RDM L1 子分支 1d9de398 推送，待 Dev gitlink bump + 独立 Review） | —（child 不开 PR） | U2A（U2 拆分） | RDM `internal/perms/*` + `internal/rdmapp/{perms_api,member_search,accountdir*,*_test}.go`；KTD7；U2A 子表 |
-| feature/iam-role-permission-linked-capabilities-u2b-system-projects-and-plugins | 是 | 已登记卡片，待 agent 派发 | —（child 不开 PR） | U2B（U2 拆分） | RDM `internal/rdmapp/{system_projects,projects_api,project_resource_authz,settings_duties,runtime}` + `plugins/rdm/{plugin,system_projects,*}`；KTD7 |
+| feature/iam-role-permission-linked-capabilities-u2b-system-projects-and-plugins | 是 | 已完成（RDM L1 子分支 8725ed3 推送，待 Dev gitlink bump + 独立 Review） | —（child 不开 PR） | U2B（U2 拆分） | RDM `internal/rdmapp/{system_projects,projects_api,project_resource_authz,settings_duties,runtime}` + `plugins/rdm/{plugin,system_projects,*}`；KTD7 |
 | feature/iam-role-permission-linked-capabilities-u7-canonical-two-trees | 是 | 待启动 | — | U7 | RDM `internal/projects/{projects,provisioning,projection_rename}.go`、`internal/rdmapp/{projects_api,system_projects,project_resource_authz}.go`；Backend `internal/server/{project_lifecycle,server}.go`；KTD2/KTD5/KTD6/KTD8/KTD10；C01-C05/C11-C17/C19-C21/C26-C31 |
 | feature/iam-role-permission-linked-capabilities-u3-capability-exposure | 是 | 待启动 | — | U3 | Backend/RDM 解释接口、HTTP/command 错误分类、创建/添加成员/对话失败原因；KTD1/KTD2/KTD6 |
 | feature/iam-role-permission-linked-capabilities-u4-frontend-auto-discover | 是 | 待启动 | — | U4 | Frontend `RolePermissionsPanel.tsx`、`AccountUsersPanel.tsx`、`adminRdmSections.tsx`、`TaskSidebar.tsx`、`App.tsx`、`store.ts`、`api.ts`、`rolePermissions.ts`、`projectmeta.ts`；KTD9；C13-C15/C19-C21/C23 |