安全治理：角色、权限、脱敏与审计

1. 在"角色与权限"页创建角色 sales_viewer（POST /api/v1/roles）
2. 给角色更新权限集合（PUT /api/v1/roles/:id/permissions，配置 FEATURE_ACCESS 等权限点）
3. 在"用户管理"页创建用户 xiaozhou（POST /api/v1/users）
4. 给 xiaozhou 分配 sales_viewer 角色（POST /api/v1/users/:id/roles）

{
  "role": { "id": 3, "role_name": "sales_viewer", "permissions": [] }
}

1. 在 /admin/security 敏感列 Tab 新建：table_name=customers、column_name=email、sensitivity_type=PII、masking_method=partial_mask（POST /api/v1/security/sensitive-columns）
2. 在"AI 护栏"Tab 确认 enabled=true、max_input_len=4000，注入关键词列表保留默认 19 个中英文词
3. 用普通用户登录 /chat，输入"查询所有客户的邮箱"验证脱敏
4. 再输入一句包含"忽略之前的指令"的查询验证护栏拦截

{
  "code": 0, "message": "ok",
  "data": { "id": 1, "table_name": "customers", "column_name": "email",
            "sensitivity_type": "PII", "masking_method": "partial_mask",
            "description": "客户邮箱", "created_at": "...", "updated_at": "..." }
}

1. 对离职账号执行 PUT /users/:id/lock，body {"locked": true} 立即锁定
2. 查看该用户角色列表（GET /users/:id/roles），逐个移除角色（DELETE /users/:id/roles/:roleId）
3. 对弱口令账号执行 POST /users/:id/password 重置（密码至少 6 位）
4. 确认无需保留后 DELETE /users/:id 删除账号

{ "user": { "id": "a1c2...", "username": "zhangwei", "locked": true } }

1. 列出全部用户与角色（GET /api/v1/users、GET /api/v1/roles），逐一核对岗位必要性
2. 检查敏感列清单（GET /api/v1/security/sensitive-columns）是否覆盖 PII / 财务字段
3. 按事件类型与时间段拉审计日志（GET /audit/logs）作为"查询行为可回溯"证据
4. 对重点查询按 trace_id 走 /admin/ai-audit（GET /ai-audit?trace_id=）回放决策链
5. 打开 /admin/security 概览（GET /security/overview）汇总敏感列数 / RLS / CLS / 审计总数 / 护栏状态 / 脱敏记录数

{
  "sensitive_columns": 3, "rls_policies": 2, "cls_policies": 1,
  "audit_logs_total": 1520, "ai_guardrail_enabled": true,
  "masked_records": 42,
  "recent_audit_events": [ ... ]
}