YG_FT/docs/权限验收测试用例.md

权限验收测试用例

版本：权限 2.0 前端权限页面收口版
编写日期：2026-08-20
适用系统：YG_FT 微调平台主工程、Backend、Frontend、Compute Agent、PostgreSQL、Redis、MinIO
说明：本文件将自动化验证、单节点页面验证和多用户/多节点专项验证分开记录。

1. 验收目标

验证平台权限功能是否能够形成以下闭环：

登录认证 → 页面权限 → 租户成员 → 资源创建 → ACL/访问申请 → 审批 → 训练/评测/推理执行 → GPU/配额预留 → 任务释放 → 审计 → 软删除和对象清理

验收重点：

• 前端页面是否提供完整的权限管理入口。
• 普通用户是否可以提交访问申请、查看自己的申请和接受租户邀请。
• 管理员是否可以配置用户页面权限、租户成员、租户配额、资源 ACL 和审批策略。
• 页面按钮隐藏只是辅助体验，直接调用接口仍必须由后端返回 401/403。
• 用户、租户、资源、ACL、审批、GPU、配额和 MinIO 对象状态是否能够保持一致。

2. 测试环境

2.1 服务

服务	地址/容器	验收要求
Frontend	http://127.0.0.1:16801	页面可打开，路由切换无白屏
Backend	http://127.0.0.1:17861/modelTF	健康接口返回成功
Compute API	http://172.25.179.69:19100	当前可达节点可进行单节点验证
Redis	WSL Docker yg-ft-redis	容器 healthy
MinIO	WSL Docker yg-ft-minio	容器 healthy，可进行对象读写
PostgreSQL	当前环境实际远程 PostgreSQL	初始化字段和增量迁移均存在

2.2 测试账号和数据

准备以下测试对象，禁止使用生产账号和真实敏感数据：

对象	建议值	说明
平台管理员	当前环境管理员账号	执行用户、租户、ACL、审批和配额管理
普通用户 A	新建测试用户	作为资源所有者
普通用户 B	新建测试用户	作为被授权用户和申请人
租户 A	新建测试租户	与租户 B 隔离验证
租户 B	新建测试租户	跨租户访问验证
测试数据集	test_data_0817 或新的小数据集	用于 ACL、训练和下载验证
测试模型	qwen3.5-0.8B	用于模型使用权限和推理验证

3. 自动化验证结果

以下项目已在当前开发环境执行：

编号	验证内容	结果
AUTO-01	npm run build	通过；仅有既有 Font Awesome 路径和 chunk size 警告
AUTO-02	test_permission_security.py	通过，8 passed
AUTO-03	test_storage_security.py	已包含在 8 passed 中
AUTO-04	后端权限文件 py_compile	通过
AUTO-05	git diff --check	通过
AUTO-06	Backend、Frontend、Compute、Redis、MinIO 容器状态	通过，Backend healthy
AUTO-07	迁移后字段核对	通过，users、eval_tasks、compare_tasks、data_convert_tasks、storage_objects 字段存在
AUTO-08	临时用户软删除闭环	通过，状态为 deleted、存在 deleted_at，原凭据登录返回 401
AUTO-09	docker/offline/src 同步	通过，离线 SQL 目录只保留 000_full_init.sql

4. 前端页面验收

4.1 组织与权限

页面入口：/organization

用例	操作步骤	预期结果
UI-ORG-01	管理员打开“组织与权限”	显示“用户与角色”“租户与配额”两个页签
UI-ORG-02	点击“创建用户”	进入用户创建页面，可填写账号、角色、状态和页面权限
UI-ORG-03	创建普通用户	默认授予业务页面权限，不自动授予组织管理和算力节点权限
UI-ORG-04	用户列表点击“权限”	进入 /user-settings/:id/permission，显示用户角色、所属租户、状态和权限矩阵
UI-ORG-05	修改用户页面权限并保存	页面提示保存成功，刷新后权限保持一致
UI-ORG-06	将普通用户改为管理员	页面显示全部权限；保存时自动补齐全部权限码
UI-ORG-07	查看已软删除用户	显示“已删除”，权限页只读，不能重新激活
UI-ORG-08	普通用户访问组织与权限	路由跳转到无权访问页，菜单不显示管理员治理入口

4.2 租户与配额

页面入口：/organization?tab=tenants、/tenants/:id

用例	操作步骤	预期结果
UI-TEN-01	管理员创建租户并设置 GPU、存储配额	租户列表出现新租户，配额显示正确
UI-TEN-02	打开租户详情	显示租户信息、配额设置、GPU 预留量和成员列表
UI-TEN-03	邀请成员并设置角色、邀请有效期	页面提示邀请成功，成员状态为待接受，过期时间正确
UI-TEN-04	修改成员角色	成员列表角色更新，不能通过页面授予非法 owner 权限
UI-TEN-05	移除成员	成员状态/关系更新，后续资源访问按后端权限拒绝
UI-TEN-06	保存配额	配额配置更新，已预留 GPU 数量不超过新配额

4.3 我的申请与租户邀请

页面入口：/approval-instances?tab=mine、/approval-instances?tab=access、/approval-instances?tab=invitations

用例	操作步骤	预期结果
UI-SELF-01	普通用户打开审批中心	可进入，不再被管理员专属路由拦截
UI-SELF-02	打开“访问申请”	可选择可见的数据集/训练模型，资源名称优先显示中文名称，同时保留 ID
UI-SELF-03	提交 read/execute/download 申请	申请出现在“我的访问申请”，状态为审批中
UI-SELF-04	撤回待审批申请	二次确认后状态变为已撤回，不能再次撤回
UI-SELF-05	打开“租户邀请”	显示租户、角色、邀请人、有效期和状态
UI-SELF-06	接受有效邀请	状态变为已加入，获得对应租户成员关系
UI-SELF-07	接受过期邀请	后端拒绝，页面显示失败原因，成员关系不产生

4.4 资源授权

页面入口：/resource-acl

用例	操作步骤	预期结果
UI-ACL-01	管理员选择数据集或训练模型	显示资源名称和资源 ID，不显示已软删除资源
UI-ACL-02	查看资源 ACL	显示用户/租户角色、主体类型和权限标签
UI-ACL-03	增加用户 ACL	可选择查看、编辑、使用、下载等权限并保存
UI-ACL-04	增加角色 ACL	可选择租户管理员、成员、只读角色；后端校验最终结果
UI-ACL-05	移除全部 ACL	页面二次确认后保存空 ACL，授权全部撤销
UI-ACL-06	ACL 查询失败	页面显示明确错误提示，不把失败误显示为空授权
UI-ACL-07	普通用户打开资源授权页面	页面入口隐藏，直接访问接口返回 403

4.5 审批中心

页面入口：/approval-instances

用例	操作步骤	预期结果
UI-APP-01	管理员打开审批申请	显示资源类型、申请事项、申请人、状态和当前步骤的中文信息
UI-APP-02	管理员打开审批策略	可配置指定用户、租户管理员、平台管理员审批步骤，不需要输入 JSON
UI-APP-03	指定审批人审批	只能由当前会话指定审批人执行，审批结果和意见可见
UI-APP-04	申请人查看自己的申请	只能看到自己的申请，不显示其他租户的审批数据
UI-APP-05	审批通过	ACL、GPU 分配或成员关系等业务效果真正落地
UI-APP-06	审批拒绝/过期	状态明确显示，不能产生授权或资源占用

5. 后端接口与页面联动验收

用例	操作步骤	预期结果
API-AUTH-01	未登录访问任意受保护页面接口	返回 401，前端回到登录页
API-AUTH-02	普通用户直接调用管理员接口	返回 403，不能仅依赖前端隐藏按钮
API-AUTH-03	禁用用户使用旧 Token	返回 401 或明确无效会话错误
API-AUTH-04	已删除用户登录	返回 401
API-TEN-01	用户访问其他租户资源详情	返回 403 或资源不存在，不泄露资源内容
API-TEN-02	过期成员访问租户资源	返回 403
API-ACL-01	没有 read 的用户读取资源 ACL	返回 403
API-ACL-02	只有 read 的用户执行模型推理	返回 403
API-ACL-03	只有 execute 的用户下载模型	返回 403
API-ACL-04	ACL 授权后重新访问	按授权动作成功
API-APP-01	申请人提交自己的审批决策	返回 403
API-APP-02	非指定审批人提交决策	返回 403
API-APP-03	重复提交相同资源访问申请	复用或拒绝重复待审批申请，不重复写 ACL
API-LIFE-01	删除用户	会话、成员、ACL、GPU 分配、待审批项和用户资源状态同步处理
API-LIFE-02	执行存储清理	已删除 MinIO 对象进入清理，失败任务可重试

6. 训练、评测、推理权限验收

用例	操作步骤	预期结果
JOB-01	用户使用无权限数据集创建训练	预检失败，显示数据集无权限
JOB-02	用户使用授权数据集创建训练	预检通过，GPU 和租户配额原子预留
JOB-03	用户使用未授权训练模型推理	页面提示无权限，接口返回 403
JOB-04	用户使用已授权训练模型推理	可选择有权限的算力节点和 GPU 卡
JOB-05	用户没有 download 权限导出模型	操作按钮不显示，接口返回 403
JOB-06	评测任务结束	GPU 预留和租户配额预留释放
JOB-07	推理任务删除	推理服务释放，任务软删除，ACL 状态撤销
JOB-08	节点不可达或 MinIO 暂时不可用	任务进入失败/重试状态，不留下永久 GPU 或配额占用

7. GPU、配额和多节点专项验收

以下用例需要第二个可达节点或一个包含多张可分配 GPU 卡的节点，当前单节点环境暂保留。

用例	操作步骤	预期结果
GPU-01	租户 GPU 配额设置为 1，同时提交两个 GPU 任务	第二个任务被拒绝，不能超配
GPU-02	同一节点同一张卡由两个用户申请	审批/分配阶段返回 409，不能重复占用
GPU-03	同一节点选择两张空闲卡	任务使用页面指定的两张卡，不使用其他卡
GPU-04	任务失败或取消	GPU 分配和配额预留释放
GPU-05	Backend 重启后恢复任务状态	已完成/失败任务不重复占用；运行任务保持可对账
GPU-06	模型训练、推理、评测选择不同节点	模型和数据从 MinIO 准备到指定节点，不错误派发到其他节点
GPU-07	节点失联	任务进入失败或待重试，资源占用在超时后回收

8. MinIO 故障专项验收

用例	操作步骤	预期结果
MINIO-01	暂停 MinIO 容器后上传数据集	页面显示明确存储不可用，不显示上传成功
MINIO-02	MinIO 暂停期间预检训练	预检提示对象不可用，可重试
MINIO-03	MinIO 恢复后重试任务	对象可重新准备，任务继续或重新提交成功
MINIO-04	删除用户后执行对象清理	用户资源对象标记 deleted，清理成功后标记 purged
MINIO-05	清理时对象删除失败	storage cleanup job 保留 failed 状态和错误原因，后续可重试

9. 离线部署验收

用例	操作步骤	预期结果
OFFLINE-01	检查 docker/offline/src/backend/app/db/sql	只存在完整的 000_full_init.sql
OFFLINE-02	清空数据库并执行完整初始化 SQL	不缺权限相关表和字段，Backend 可启动
OFFLINE-03	离线启动 Frontend	不请求在线 CDN，页面可正常打开
OFFLINE-04	离线启动 Backend、Compute、MinIO	各服务使用独立网络和配置，权限接口可用
OFFLINE-05	离线新库执行用户/租户/ACL/审批流程	与主工程行为一致

10. 问题记录规则

每条失败用例至少记录：

• 测试编号、执行时间、执行人和账号。
• 页面 URL、接口 URL、请求方法和请求 ID。
• 当前用户、租户、资源 ID、资源所属租户。
• 实际 HTTP 状态码、页面提示、数据库状态和容器日志。
• 是否产生了残留 ACL、GPU 分配、配额预留、MinIO 对象或审批记录。
• 修复提交、回归结果和是否需要再次现场验证。

11. 当前验收结论

当前已自动验证：前端构建、后端权限安全测试、存储安全测试、数据库字段迁移、容器健康、用户软删除登录拦截和离线源码 SQL 目录结构。

当前前端权限页面已完成主要操作闭环：

• 用户页面权限设置。
• 用户创建时的页面权限配置。
• 租户成员邀请、角色、有效期和配额展示。
• 普通用户访问申请、我的申请和租户邀请接受。
• 资源用户/角色 ACL 管理和全部撤销。
• 审批申请、审批策略可视化配置和中文状态展示。

仍需现场验证：双用户跨租户、多 GPU 并发、第二节点调度、节点失联回收、MinIO 故障注入和完整浏览器点击流。这些属于环境依赖型验收，不代表前端页面缺少入口。