withdraw 提交接新码 group-batch:withdraw:submit(授 ADMIN / CUSTOMIZER,不授 FINANCE), 无权限 589507,带 nacos 灰度开关;团期核单 finalize 在已有快照的幂等分支之前判权, 非资金写角色不再能经它读到整份核单。响应结构、成功码、业务错误码不变。 TEST 已部署(dev-v3 @ b8c9b463f)并实测:退团提交七角色矩阵、审批角色门对照、 开关 false→还原往返(md5 逐字还原)、finalize 四个非财务角色 589507,全程零写入。 Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
两个端点从零判权改为 transfer-in 接 group-batch:manage、transfer-candidates 接 group-batch:view,无权限 589507;各带一个 nacos 灰度开关。响应结构、成功码、 业务错误码不变,有权限的调用方行为与改前一致。 TEST 已部署(dev-v3 @ 22f9fb83d)并实测:五角色矩阵逐格吻合(部署前同组请求十格 全非 589507)、nacos 双开关三态往返含还原后复现、观察日志反证强制态未走旁路分支。 Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>