break-glass 不变量的第三条路径无守卫:撤掉最后一个管理员的「身份」(sys_member 降级 / 删 admin_full_access 授权)同样锁死环境

[baozhoutao]

发现于 #5941 / PR(delete 半边)的实现过程,范围外,未在该 PR 修。

现状

cloud ADR-0024 D5.2 的不变量是「环境永远至少留一个能登录的管理员」。今天它由两个引擎钩子守着,都装在 sys_user 上:

写法	钩子	出处
sys_user.banned = true	beforeUpdate	#5892 / PR #5939
删 sys_user 行	beforeDelete	#5941

两者都只看「这一行用户还在不在、被没被 ban」。但「谁是管理员」这件事不存在 sys_user 上 —— 它由另外两张表决定(last-admin-guard.ts 的 resolveAdminUserIds 正是从这两张表反向枚举出来的):

1. sys_member.role 带 owner / admin 等级;
2. 无组织范围、在有效期内的 sys_user_permission_set → admin_full_access 授权。

所以第三条写法完全绕开两个守卫:用户行原封不动,把他的管理员身份拿掉。

• 把最后一个管理员的 sys_member.role 改成 member(better-auth organization 插件的 updateMemberRole,或 SCIM 组映射的一次变更);
• 删掉他的 sys_member 行(移出组织);
• 删掉 / 改期那条 admin_full_access 的 sys_user_permission_set 授权。

三者事后状态与「删掉最后一个管理员」等价:环境里没有任何人能管理任何东西,产品内部无恢复路径。

为什么现在报的是这一条

#5892 与 #5941 的守卫都把「剩余管理员数」算得很准,却只在被删/被 ban 的那一行上判定。撤销身份的写落在 sys_member / sys_user_permission_set 上,两个钩子的 object 过滤(SystemObjectName.USER)直接跳过。last-admin-guard.ts 的头注释已把这条明确标为「不在本次范围内」,这张单是那句注释指向的登记。

可能的方向(未决,需要拍板)

• 同形状扩到两张表:在 sys_member 的 beforeUpdate/beforeDelete 与 sys_user_permission_set 的 beforeUpdate/beforeDelete 上复用同一份 resolveAdminUserIds —— 判据变成「这次写之后重新枚举,还剩不剩管理员」。代价:枚举要做两次(写前/写后模拟),或者按写入内容推算差集。
• 收窄到「自降级」:只拦「最后一个管理员把自己降级」,把组织侧的角色治理留给更大的策略。覆盖面小,但与 ADR-0024 D5.2 的字面要求仍有差距。

两条路的判据都要 fail-closed,并且要和 #5942(「谁是管理员」有两种拼写)一起看:守卫扩到 sys_member 上之后,等级尺的口径会同时被两条安全路径消费。

参考

• plugin-auth: break-glass 守卫 —— SCIM/ban 不得停用最后一个管理员(ADR-0024 D5.2,cloud#621 转入) #5892 / PR feat(plugin-auth): break-glass 守卫 —— ban 不得停用最后一个管理员(ADR-0024 D5.2) #5939(ban 半边)
• 最后一个管理员的「删除」路径无守卫:目标不持本地密码时,SCIM/admin remove 可删掉环境最后一个管理员 #5941(delete 半边,packages/plugins/plugin-auth/src/last-admin-guard.ts)
• 「这个 membership 是不是管理员」有两种拼写,大小写敏感性不同:isOrgOrPlatformAdmin 对 role='Owner' 答否,等级尺答是 #5942(等级尺两种拼写)
• cloud ADR-0024 D5.2 / ADR-0108(membership 词表)/ ADR-0068 D2(platform_admin 由能力推导)

Blocked-by: #5941

---

Generated by Claude Code

[claude]

分诊:入队(pm:queue)+ 暂阻(pm:blocked,Blocked-by: #5941)+ 域 domain:identity。

• 落点锚定:守卫要扩到 sys_member 与 sys_user_permission_set 的 beforeUpdate/beforeDelete,复用 packages/plugins/plugin-auth/src/last-admin-guard.ts 的 resolveAdminUserIds —— plugin-auth ⇒ domain:identity。
• 为什么先 blocked(硬前提,本轮实测):git log/grep origin/main -- packages/plugins/plugin-auth/src/last-admin-guard.ts 零输出 —— 该文件尚未落 main,它由 最后一个管理员的「删除」路径无守卫:目标不持本地密码时,SCIM/admin remove 可删掉环境最后一个管理员 #5941(pm:dispatched,在飞)创建。本单要复用的 resolveAdminUserIds 与要扩的钩子形状此刻都还不存在,提前派发等于让两个 dev 造同一个文件。最后一个管理员的「删除」路径无守卫:目标不持本地密码时,SCIM/admin remove 可删掉环境最后一个管理员 #5941 合入即摘 pm:blocked。
• 不判 needs-user-decision 的理由:ADR-0024 D5.2「环境永远至少留一个能登录的管理员」是已被接受的不变量,本条是它的第三条路径未被兑现 —— restore-invariant 形状,按分诊规则自动入队,不占维护者收件箱。正文两条方向的差别是实现覆盖面(全覆盖 vs 只拦自降级),不是产品语义拍板;PM 倾向同形状扩到两张表(它才满足 D5.2 的字面要求),若识别期发现代价迫使收窄到「自降级」,那一刻才是维护者问题,由车道 PM 在派发分析里提。
• 派前必读(记在单上,不记在记忆里):① 判据必须 fail-closed(枚举失败/不确定时拒写,不放行);② 需与 「这个 membership 是不是管理员」有两种拼写,大小写敏感性不同:isOrgOrPlatformAdmin 对 role='Owner' 答否,等级尺答是 #5942(「谁是管理员」有两种拼写、大小写敏感性不同,pm:queue domain:identity)一起看 —— 守卫扩到 sys_member 后,等级尺口径会被两条安全路径同时消费,两单若分批做,后做的那单要重读前一单的结论(「这个 membership 是不是管理员」有两种拼写,大小写敏感性不同:isOrgOrPlatformAdmin 对 role='Owner' 答否,等级尺答是 #5942 与本单同一等级尺,identity 座位宜连做或严格串行)。
• 查重:plugin-auth: break-glass 守卫 —— SCIM/ban 不得停用最后一个管理员(ADR-0024 D5.2,cloud#621 转入) #5892(ban 半边)已 closed、最后一个管理员的「删除」路径无守卫:目标不持本地密码时,SCIM/admin remove 可删掉环境最后一个管理员 #5941(delete 半边)在飞、「这个 membership 是不是管理员」有两种拼写,大小写敏感性不同:isOrgOrPlatformAdmin 对 role='Owner' 答否,等级尺答是 #5942(等级尺)在队 —— 本条是同一不变量的第三条路径,既有三单均未覆盖 sys_member / sys_user_permission_set 写入面。三仓比对无重复单;last-admin-guard.ts 头注释里「不在本次范围内」那句指向的正是本单。

本评论来自分诊座位 Routine(#5474 试点),不构成认领。

---

Generated by Claude Code

[baozhoutao]

解锁(identity 车道 PM,session_01JwwiU9bjhwy2SWj13ho8uv):Blocked-by: #5941 已解除 —— #5941 随 PR #5993 合入 main(8dcf607f6),last-admin-guard.ts 与 resolveAdminUserIds 已存在,摘 pm:blocked 回队列。

排期注记:按分诊「与 #5942 严格串行」的要求,本单待 #5942 的 PR #6010(等级尺统一,合并队列中)落地后作为第 9 轮派发 —— 届时守卫扩到 sys_member 时消费的等级尺已是唯一那把,且派发令会带 #6010 的结论(只放宽零收窄的逐值实测)。方向沿分诊预裁:同形状扩到两张表、fail-closed;识别期发现代价迫使收窄到「自降级」即升级维护者。

---

Generated by Claude Code