a端 G7-4 越权矩阵 · 消费侧核对表（WIP-359① · 一号）

来源：小冈 R1 派工 WIP-359（2026-09-16 08:3x）／义父连轴五批令

目标：a端（admin-console）侧，对 352 底稿 P0 42 端点无角色约束做逐端点核对表——界面入口／按钮／直连 URL 三渠道越权可达性

闸门：admin-console+evidence 🔒一号（本表只核证与出判据，不改 a端/backend 代码）

生成时间：2026-09-16 08:5x（静态依据，非估计值）

配套脚本：scripts/check_role_matrix.py --json（B02 角色矩阵·AST 静态事实底座）

〇、口径声明

42 端点＝check_role_matrix.py 真值「P0 合集 92，其中无角色约束（anon/user）42 条」（P0-A 黄金路径 34 + P0-B 敏感写 69，无约束独立统计）。
消费侧＝admin-console src/services/api.ts 实际调用点 + src/services/http.ts 的 destination_id 自动注入两域覆盖（WIP-339）。
三渠道：①界面入口（页面导航可达）②按钮（页面内操作按钮触发）③直连 URL（开发者工具/抓包直接调后端）。
本表为真机/机位逐条勾验的抢口：沙箱无开发者工具 GUI／无真机，PASS 行由机位实测确认；涉及 C 端端点（/api/miniapp/**）由跨域属主复核，本表只记 a端交互面。

一、a端消费的 admin 域端点核对（admin-console/src/services/api.ts 主表）

后端合法前缀：/api/admin（admin_backend）、/api/admin/distribution（admin_distribution）、/api/miniapp/admin（admin_ops，不命中 a端自动注入）。

§1.1 admin_backend（`/api/admin`，27 端）—— 接口函数→三渠道可达性

#	api.ts 函数	后端端点	结算渠道①界面	②按钮	③直连URL	无角色约束？	越权风险预判	机位勾验
1	login	POST /auth/password-login	✅ 登录页	✅	✅	否（auth 一律 anon 但有 admin 身份校验）	🟢 登录后校验 is_admin	☐
2	getIdentity	GET /identity	✅	—	✅	否	🟢 供 is_admin 判定	☐
3	listProducts	GET /api/admin/packages	✅ 套餐页	—	✅	待核	🟠 若营业员可达则越权	☐
4	createProduct	POST /api/admin/packages	—	✅ 新增	✅	待核	🟠	☐
5	updateProduct	PUT /api/admin/packages/{id}	—	✅ 编辑	✅	待核	🟠	☐
6	setProductStatus	PATCH /api/admin/packages/{id}/status	—	✅ 上下架	✅	待核	🟠	☐
7	listAdminOrders	GET /api/admin/orders	✅ 订单页	—	✅	待核	🟠	☐
8	interveneOrder	POST /api/admin/orders/{id}/intervene	—	✅ 介入	✅	待核	🔴 写方法高风险	☐
9	listOrderInterventions	GET /api/admin/orders/{id}/interventions	—	✅	✅	待核	🟠	☐
10	getStatsOverview	GET /api/admin/stats/overview	✅ 仪表盘	—	✅	待核	🟠	☐
11	listAuditLogs	GET /api/admin/audit-logs	✅ 审计页	—	✅	待核	🟠	☐
12	listCmsPosts	GET /api/admin/cms/posts	✅ 内容页	—	✅	待核	🟠	☐
13	createCmsPost	POST /api/admin/cms/posts	—	✅	✅	待核	🔴	☐
14	updateCmsPost	PUT /api/admin/cms/posts/{id}	—	✅	✅	待核	🔴	☐
15	publishCmsPost	POST /api/admin/cms/posts/{id}/publish	—	✅ 发布	✅	待核	🔴	☐
16	offlineCmsPost	POST /api/admin/cms/posts/{id}/offline	—	✅ 下线	✅	待核	🔴	☐
17	deleteCmsPost	DELETE /api/admin/cms/posts/{id}	—	✅ 删除	✅	待核	🔴	☐
18	listAdminDestinations	GET /api/admin/destinations	✅ 目的地页	—	✅	待核	🟠	☐
19	listAdminMerchants	GET /api/admin/merchants	✅ 商户页	—	✅	待核	🟠	☐
20	createMerchant	POST /api/admin/merchants	—	✅ 新增	✅	待核	🔴	☐
21	updateMerchant	PUT /api/admin/merchants/{id}	—	✅ 编辑	✅	待核	🔴	☐
22	setMerchantStatus	PATCH /api/admin/merchants/{id}/status	—	✅ 启用停用	✅	待核	🟠	☐
23	listConfigVersions	GET /api/admin/config/versions	✅ 配置页	—	✅	待核	🟠	☐
24	getConfigCurrent	GET /api/admin/config/current	✅ 配置页	—	✅	待核	🟠	☐
25	publishConfig	POST /api/admin/config/publish	—	✅ 发布	✅	待核	🔴 425 上线闸门	☐
26	rollbackConfig	POST /api/admin/config/rollback	—	✅ 回滚	✅	待核	🔴	☐

说明：#1-2 走 C 端 auth/identity，已带 is_admin 拦截；#3-26 走 admin 域，无角色约束判定值以 352 底稿/check_role_matrix 为准，本表逐格待机位实测回填。

§1.2 admin_ops（`/api/miniapp/admin`，24 端，不命中 a端自动注入）

⚠️ 三大域核对表 §二·B 记录：admin_ops 域 a端自动注入不命中（前端 http.ts 只对 /api/admin/ 前缀注入 destination_id）。本域消费（如 overview 的读取）越权风险面独立核。

#	函数/落点	后端端点	①②③渠道	越权风险预判	机位勾验
27	getStatsOverview(days)	GET /api/miniapp/admin/stats/overview	✅①仪表盘 ③直连	🟠 待核	☐
28	DistributionOps.overview（354②）	GET /api/miniapp/admin/distribution/overview	✅①分销总览Tab ③	🟠 待核	☐

二、42 无角色约束端点 · a端交互面交叉核对

42 端点全部为 C 端 /api/miniapp/ 路径（auth/identity/orders/products/pay/distribution/safety/tasks 等）。a端（admin-console）不直接消费这些端点，但营业员/商户身份经 C 端登录后可达**。本表记录 a端对这些端点的归口（跨域属主 C 端，a端只记交互面）。

组	42 中含的端点（节选）	a端交互面	越权风险预判
认证	/api/miniapp/auth/login、password-login、me、identity	登录复用 C 端（api.ts login 调用 /auth/password-login）	🟢 登录即鉴权基座
订单	/api/miniapp/orders、{id}、cancel、pay、refund、confirm-consumed、review	a端订单页读 admin 域，C 端操作为营业员动作	🟡 C 端域属主复核
支付	/api/miniapp/pay/orders/{id}/prepay、status、/pay/notify	a端不在支付链路	🟢 a端不触
分销	/api/miniapp/distribution/**	a端分销总览读 admin 域	🟡
商品	/api/miniapp/products、search、{id}、addons	a端套餐页读 admin 域	🟡 展示公开商品
工作台	/api/miniapp/workbench/items/{id}/status、redeem/conflicts/{id}/resolve	非 a端域	🟡 归小齐 domain 复核
安全	/api/miniapp/safety/sos/{alert_id}/cancel	非 a端域	🔴 敏感，归小齐
其他	/api/miniapp/tasks-full/verify、user/info、status/confirm、agent/、redemption-codes/	非 a端域	🟡 归 C 端属主

结论预判：42 无约束端点无一条落在 a端(admin-console) 消费路径上；a端作为后台，自身 admin 域端点的无角色约束判定以太表 §1.1 #3-26 为准。真机实测按 §1.1/§1.2 勾验 + §二 42 端点归口交跨域属主复核。

三、三渠道越权判定通则（判据）

①界面入口：该页面 URL 是否在 a端路由表（app 路由）内可达；营业员/普通员工登录后能否导航到该页。
②按钮触发：页面内操作按钮是否存在（可见即可点）；无 role 守卫时是否默认可操作。
③直连 URL：抓包/开发者工具直接请求紧急后端端点，绕过前端双重鉴权是否仍被后端拒绝（后端鉴权为最终防线）。
判据：三渠道任一可达 + 后端无角色约束 ⇒ 越权风险成立（🔴）；三渠道全不可达且后端有守卫 ⇒ 🟢。
逐格由机位真机实测回填：营业员（merchant_staff）身份 + 管理员（admin）身份分别登录 a端核对。

四、本表缺口（诚实登记）

盲区：沙箱无微信开发者工具 GUI／无真机 → ①②③ 三渠道实测值无法自采，判据已预填为勾验行（☐），移交机位回填
42 端点（C 端）具体越权矩阵（横向 8 + 纵向 55）已在 check_role_matrix.py 真值输出，a端不含其中任一；C 端越权收口交小齐聚合（G7-4 四红线负向）

〇、口径声明

一、a端消费的 admin 域端点核对（admin-console/src/services/api.ts 主表）

§1.1 admin_backend（/api/admin，27 端）—— 接口函数→三渠道可达性

§1.2 admin_ops（/api/miniapp/admin，24 端，不命中 a端自动注入）

二、42 无角色约束端点 · a端交互面交叉核对

三、三渠道越权判定通则（判据）

四、本表缺口（诚实登记）

§1.1 admin_backend（`/api/admin`，27 端）—— 接口函数→三渠道可达性

§1.2 admin_ops（`/api/miniapp/admin`，24 端，不命中 a端自动注入）