Repository navigation
记录删除后 sys_share_link 能力令牌仍然有效 —— 与 #5103 同族，但因为是无身份令牌所以更糟 #5190
Description
实现 #5103（记录删除级联撤销 sys_record_share）时发现。未认领，归属 plugin-sharing，不在 #5103 范围内（那个 issue 的标题与裁定都明确限定在 sys_record_share）。
现象
ShareLinkService.resolveShareLink（packages/plugins/plugin-sharing/src/share-link-service.ts）逐项检查 token 是否存在、revoked_at、expires_at、audience、密码，唯独不检查 (object_name, record_id) 指向的记录是否还存在。删除记录不会撤销、也不会过期它上面的分享链接：行原样留在 sys_share_link 里，resolveShareLink 照常返回 { link, redactFields }，由调用方去读一条不存在的记录。
sys_share_link 也没有任何 afterDelete 钩子 —— #5103 补的级联只覆盖 sys_record_share。
为什么比 #5103 更严重
#5103 的孤儿行是有身份的：sys_record_share 说的是"用户 U 在记录 R 上有 L 级权限"，复用 id 时受益者仍限于那批具名收件人。分享链接是能力令牌：谁持有 token 谁就有权限，不需要是任何人。所以一旦记录 id 被复用（自定义主键、保留原 id 的导入、未来引入的 id 回收），一个早已"随记录一起消失"的链接会直接对新记录生效，而持有者可能是当初被分享过的任意外部人员。
即便没有 id 复用，次要危害同样存在：sys_share_link 单调增长；Setup 里的链接列表展示指向不存在记录的行；use_count/last_used_at 还会继续被 stamp。
建议方向
与 #5103 落点一致、代价很小的两条，建议同时做：
resolveShareLink增加记录存在性检查 —— 这是 fail-closed 的那一半，不依赖任何钩子跑没跑过：记录不在了就返回null（与 revoked/expired 同一分支，不区分，避免把"记录存在与否"泄露给未授权持有者）。- 记录删除时级联撤销/删除链接行 —— 记录删除后
source: 'manual'的sys_record_share仍是孤儿 —— #4779 的 afterDelete 只覆盖规则共享,且只覆盖有规则的对象 #5103 已经在record-share-cascade.ts建好了 seam（全局beforeDelete暂存行集 +afterDelete按 id 集合撤销，外加 boot 期按"记录还在不在"的清扫）。加一条sys_share_link的撤销走同一条路即可，不需要新机制。
注意 #5180（平台级多态弱引用级联）落地后这两条钩子可以收敛进去，但和 #5103 的理由一样：不该让授权面的孤儿等一个尚未落地的平台能力。
相关
- 记录删除后
source: 'manual'的sys_record_share仍是孤儿 —— #4779 的 afterDelete 只覆盖规则共享,且只覆盖有规则的对象 #5103 / 本 PR ——sys_record_share的记录删除级联 + boot 孤儿清扫（同一族，同一 seam）。 - 共享规则 hook 对谓词式(multi)写入不重算:
if (!id) return让sys_record_share授权在批量更新后变陈旧 #4779 / fix(plugin-sharing): 谓词式(multi)写入重算共享规则 —— 批量更新后 sys_record_share 不再陈旧 (#4779) #5102 —— 规则共享的谓词式重算与 afterDelete。 - [engine][设计卡] 多态弱引用挂靠表的平台级删除级联 —— sys_record_share/attachment/comment 一族的统一清理机制 #5180 —— 平台级多态级联设计卡。
Activity
claude commentedon Aug 4, 2026
认领:PM 循环第 13 轮(identity 车道;#5196 已合,同包串行解除)
会话:
session_015W6nhsDrz6zWQc8je12a1t分支:
claude/issue-5190-share-link-existenceWorktree:
objectstack-issue-5190域:
domain:identity文件面:
packages/plugins/plugin-sharing/**(resolveShareLink 存在性检查 + 复用 record-share-cascade seam)+ 测试 + changesetGenerated by Claude Code
claude commentedon Aug 4, 2026
PM 验收(第 13 轮接手,identity 车道):ACCEPT — PR #5214,CI 绿后转 ready 入队;本批最后一单
e2bd9fc逐 hunk 对照规格审定(存在性探针在廉价内存门之后、用量 stamp 之前;与 revoked/expired 同分支无存在性泄露;探针抛错 fail closed;级联并入 fix(sharing): 记录删除时撤销该记录的全部sys_record_share（不分 source）+ boot 期按记录存在性的孤儿清扫 (#5103) #5196 的既有 seam 而非平行机制),验证从零补跑record-orphan-cleanup.ts使两张表在分块/扫描上限/探针失败规则上结构性不可漂移 —— 与 fix(sharing): 记录删除时撤销该记录的全部sys_record_share（不分 source）+ boot 期按记录存在性的孤儿清扫 (#5103) #5196 的共享谓词同一思路 ✓publicSharing与sharingModel正交判定、两半隔离(grants 回收出错不跳过 token)——语义边界清楚 ✓;spec/objectql 零触碰 ✓合并后 #5103 → #5190 这条「删除级联」线完整闭环(share + link 两张表、resolve 双保险、boot 清扫)。按维护者指示,本单落地后循环暂停。
Generated by Claude Code
fix(plugin-sharing): 记录删除后 sys_share_link 令牌立即失效 —— resolve 存在性校验 + 删…
test(plugin-sharing): make the refusal-shape pin discriminate
Hold `publicSharing.eligibility` at redemption, not only at mint (obj…
fix(plugin-sharing, plugin-audit): runtime strings state each decisio…