Agent-System/.doc/ops/short-term/2026-09-20-bug-hunt-permissions-uploads.md

title, status, created, updated, owner, branch, worktree, mutex

title	status	created	updated	owner	branch	worktree	mutex
修复系统权限设置与项目协作多项缺陷	in_progress	2026-09-20	2026-09-20	Cursor-Auto	fix/bug-hunt-2026-09-20-permissions-and-uploads	-	authz+web+projectworkflow

修复系统权限设置与项目协作多项缺陷

目标

修复两轮排查确认的 12 处后端/前端缺陷（CSP/PDF、系统设置 CAS、任务错误误分类、task-run 403、成员管理 RBAC、注册吞错、强制改密复发、项目重名、无项目可对话、右侧栏不记忆等）。

范围

• CSP frame-src + PDF blob 预览
• 系统设置 expected_revision 全链路
• ProjectSettingsApiError httpStatus/errorCode 别名
• task-run 查看放宽为项目成员；前端 403/404 停轮询
• project:manage_members 权限位（迁移 00055）
• memStore 成员可见性
• CreateUser 吞错 / 400·500 分类 / LooksInternal
• 强制改密 session 嵌套字段 OR 复活
• CreateProject client_key 幂等 + (creator, name) 唯一（迁移 00056）
• 无项目禁止对话 + 发送按钮置灰
• 右侧工具栏默认收起并持久化

非目标

• 全局项目名唯一（仅同创建人内唯一）
• 放宽 frame-ancestors / X-Frame-Options

步骤

1. 后端 CSP / authz / auth / projectworkflow / chat 入口
2. 前端 PDF / settings / 错误别名 / 轮询 / RBAC UI / 改密 / 建项幂等 / InputArea / AppShell
3. 迁移 00055 / 00056 + 单测
4. go vet / go test -short / npm test / npm run build
5. 占集成槽位合回 dev

验收标准

• 代码与契约补齐（见 audit 笔记）
• 短测与前端构建通过
• 合入 dev

相关链接

• Audit: .doc/audit/2026-09-20-bug-hunt-permissions-uploads.md
• Plan: .cursor/plans/修复系统权限设置与项目协作多项缺陷_ff3242f7.plan.md

证据 / 备注

分支：fix/bug-hunt-2026-09-20-permissions-and-uploads