优化

deploy/sql/README.md

@@ -1,8 +1,9 @@
 # 测试环境 SQL 执行说明
 
-## 唯一数据库初始化与发布入口
+## 数据库初始化与权限发布入口
 
-- 国内区域固定入口：`头程数据库统一增量-MySQL8.sql`。文件名保留历史兼容，内容维护为当前完整数据库基线和存量环境兼容升级，不再按日期拆分发布脚本。
+- 国内区域全量入口：`头程数据库统一增量-MySQL8.sql`。文件名保留历史兼容，内容维护为当前完整数据库基线和存量环境升级，不再按日期拆分结构发布脚本。
+- 通用权限点独立入口：`权限点初始化-MySQL8.sql`。国内与海外业务的 Admin/Client 权限主数据均在 `baiyue_iam` 统一管理。当发布内容只新增或更新 IAM 权限资源及默认角色授权，且 IAM 基础表、父菜单和系统角色已存在时，可只执行该文件。它不建表，不创建账号、客户、仓库或业务数据。
 - 海外区域固定入口：`海外区域统一增量-MySQL8.sql`。该文件已经内联 Lastleg 与 Warehouse Overseas 的完整空库基线，会自行创建并初始化 `baiyue_lastleg`、`baiyue_lastlag_warehouse` 和独立的 `baiyue_event_bridge_overseas`，清库后不得再额外执行模块基线。IAM 安全事件 Inbox 和可恢复投影位于 `baiyue_lastleg.ll_security_*`，Redis 只作可重建镜像。
 - Lastleg 基线和海外固定增量仅确定性初始化国内固定 `platform_admin`（`authUserId=1000001`、`tenantId=0`）的 USER/AUTHORIZATION version=0 安全投影；AUTHORIZATION 同步冻结当前 `PLATFORM_ADMIN` 角色及 IAM 跨区前缀下的完整权限集合，保证空库重建后海外 Gateway 可立即鉴权。统一 SQL 重放只修正仍处于固定 baseline version=0 的该行，其他既有开发账号不建立兼容表或长期补投入口。
 - 国内、海外 Compose 部署默认设置 `SPRING_SQL_INIT_MODE=never`，执行任一 SQL 均需用户单独授权。
@@ -25,6 +26,13 @@
 4. 每个增量区块末尾增加只读断言，并同步维护统一脚本末尾的总体验证。
 5. MySQL DDL 会隐式提交，执行前仍应在目标环境确认连接和授权；不能把跨库脚本视为可整体回滚事务。
 
+### 权限点独立入口边界
+
+- 新增权限时，同步维护 IAM 模块来源、`权限点初始化-MySQL8.sql`、对应区域的全量统一 SQL、前端按钮/路由、Controller `@PreAuthorize` 和 OpenAPI。
+- 权限点入口只用于既有 IAM 基线上的权限新增或元数据/默认授权更新。涉及建表、字段、索引、角色创建或其他业务数据时，仍执行全量统一 SQL。
+- 独立入口必须可重复执行，执行前校验稳定权限 ID/权限码没有被其他语义占用，执行后只在授权完整时返回 `permission_initialization_status = PASS`。
+- 权限写入后不修改 Redis 中已签发的会话快照；受影响用户必须退出并重新登录。权限撤销不通过该 SQL 直接处理，应走 IAM 角色授权命令以同步撤销会话。
+
 ## Finance 首期人工财务基线
 
 - Finance 数据库为 `baiyue_finance`，模块溯源脚本为 `finance/src/main/resources/db/finance.sql`，测试和存量环境仍只执行统一入口。
@@ -53,7 +61,7 @@
 
 固定入口同时幂等补齐审核自动开户所需的全局 `MERCHANT_OWNER` 角色模板、全局商户菜单/按钮权限和角色授权；执行后应使用 `iam/src/test/resources/db/verify-phase1-admin-rbac.sql` 确认模板存在且权限完整。
 
-测试环境只执行当前固定入口；历史脚本和模块脚本不应在固定入口执行后再次串行执行。
+测试环境结构发布只执行全量固定入口；纯权限点发布可改用权限点独立入口。历史脚本和模块脚本不应在任一发布入口执行后再次串行执行。
 
 ## 执行方式