DrsakuraandClaude Opus 5
3e9fd2dc97
fix(customer): 联系人新增与跟进编辑补上归属校验
两个端点都只有 requirePermission('customer.edit')，而那只说明「这个人有权
编辑客户」，没说明「有权编辑**这一条**客户」。实测一个 sales_rep 账号：
GET /api/customers/4 → 404（读是隔离的）
POST /api/customers/4/contacts → 201（写进去了）
PATCH /api/customers/4/follow-ups/12 → 200
把「客户确认 3000 套订单」改成了「客户取消了订单」
也就是说一个销售能往看不见的客户里插联系人（还能把自己设成主联系人），
还能改写另一个销售客户的跟进历史。
两处都有对照组：紧挨着的 PATCH /contacts 和 POST /follow-ups 一直有这道
检查，所以是漏了而不是设计如此。补上后重放两个利用都是 403，归属人自己
仍然 201/200。
Co-Authored-By: Claude Opus 5 <[email protected]>
2026-10-22 15:22:15 +08:00
..
2026-09-17 14:53:02 +08:00
2026-09-17 14:53:02 +08:00
2026-09-17 14:53:02 +08:00
2026-09-17 14:53:02 +08:00
2026-09-17 14:53:02 +08:00
2026-10-22 15:22:15 +08:00