chenxing
8799d72d47
build / build-push (push) Successful in 1m17s
问题1 学校管理员多校并存：SCHOOL 级判定原先收拢该管理员名下所有学校
（多校 = 多棵子树并集），导致一个在云海小学+云海中学都有管理员身份的账号
左侧组织树出现两个学校根。
- AccessScopeService.computeScope：SCHOOL 分支优先取 sys_user_current_role
的 schoolId（须命中「该用户确有 {校领导,管理员} 正常态身份行且组为学校组」白名单，
一并挡住脏记录指向别校、切到非管理身份两类越权）→ 无记录/不合法回落本职主校
→ 都解析不出才保留历史宽口径（范围为空会误降 NONE 被整体 403，宁宽勿窄）
- 落在 scopeGroupIds 上游：树/列表/搜索/导入导出/写口 guard 一起收敛，
避免「树里看不到但能搜到、能跨校写」的半修复
- 新增 AccessScopeServiceTest 9 例（该类此前无测试）：当前身份收敛/回落主校/
脏记录与区域组回落/主组链无学校的宽口径/超管不受影响/无管理身份行不进 SCHOOL
- 类注释与《管理端权限分级改造方案》§1/§5/§6/§8 同步修订留痕（原写明与当前身份无关）
问题3 权限一览「（本组）」备注：撤销上一版「上下文组覆盖主组」的做法，
改为 own = 用户归属组数>1 且节点为主组——单组用户不再带备注，多组用户
只有本职组带标记（兼职组不带），切换查看时才具备区分意义。