合并 feat/org-directory:成员目录(Keycloak 读写面穿透)+ 治理台成员/组织/权限三页 + 广播桥回弹修复 + 稳定版脚本 + W05 目标件

分支四条(2026-08-26 做的,一直留在工作树没入库,今天补提交):
① feat(org) 成员目录 —— KeycloakDirectory 端口与适配器、org-directory 契约/路由、sync-roster CLI、
   personName 姓在前、Staff.kind 按账号名现判;前端员工屏重做成成员 / 组织 / 权限三页签;
② fix(app) 广播桥「转发进来的不再 NOTIFY 回去」—— 两台后端互桥回弹 19 万条广播那次的修复,代码此前没入库;
③ chore stable.sh + .stable/ 入 ignore + vite preview 宿主白名单;
④ docs(w05) 目标件五份 HTML 与三份说明、实施计划、三张图。

冲突六处,全在 org 后端「姓在前」上 —— 主支(0c029b6,shanqin)与分支同日各做了一版:
主支拼「姓 名」留空格,分支 personName 汉字直拼(「柴浩」)、非汉字留空格(「Admin Amy」),
且分支那版是超集(服务账号识别、名册同步走同一把尺)。取分支版:port.ts / claims.ts /
keycloak-token-verifier.ts / keycloak-admin-roster.ts 及其测试按分支;主支那条 claims 测试
(「亲 删」→ 姓在前)保留,期望从「删 亲」改为「删亲」。api-report 重生成。

五道门禁绿:2096 测试通过、23 跳过(无模型密钥 / 无真信箱的惯常项)。

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_0167qWjeyBwvfdGovd7FWbCu

apps/web/src/shared/gov/gov-api.ts

@@ -23,6 +23,7 @@ import type {
   GovTriggersOutput,
   GovWorkGroupsOutput,
   GovWorkflowOutput,
+  RouteOutput,
   ProcessPackage,
   GovLedgerByActivityOutput,
 } from '@contracts';
@@ -44,6 +45,12 @@ import {
   listLlmInstancesRoute,
   listLlmProvidersRoute,
   listProcessPackagesRoute,
+  getOrgUserRoute,
+  listOrgGroupMembersRoute,
+  listOrgGroupsRoute,
+  listOrgRolesRoute,
+  listOrgUsersRoute,
+  listRoleAccessRoute,
   listStaffRoute,
   listToolsRoute,
   listTriggersRoute,
@@ -190,3 +197,65 @@ export const useGovWorkflow = (id: string): UseQueryResult<GovWorkflow> =>
 
 export const useGovTaskLog = (taskId: string): UseQueryResult<GovTaskLog> =>
   useQuery({ queryKey: ['gov', 'tasklog', taskId], queryFn: () => call<GovTaskLog>(govTaskLogRoute, { params: { taskId } }) });
+
+/* ── 成员与组织(ADR-012)———————————————————————————————————————— */
+
+/**
+ * 各屏的查询键 —— 写完**按碰到的那几屏**失效,别一把 `['gov','org']` 全清。
+ * 成员那一趟最贵(服务端要逐人问角色,见 debt),把它拖进来重取,
+ * 屏上那棵组织树就多钉着已经没了的组好几秒。
+ */
+export const ORG_KEYS = {
+  users: ['gov', 'org', 'users'] as const,
+  user: ['gov', 'org', 'user'] as const,
+  roles: ['gov', 'org', 'roles'] as const,
+  groups: ['gov', 'org', 'groups'] as const,
+  groupMembers: ['gov', 'org', 'group-members'] as const,
+  roleAccess: ['gov', 'org', 'role-access'] as const,
+};
+
+export type GovOrgUsers = RouteOutput<typeof listOrgUsersRoute>;
+export type GovOrgUserDetail = RouteOutput<typeof getOrgUserRoute>;
+export type GovOrgRoles = RouteOutput<typeof listOrgRolesRoute>;
+export type GovOrgGroups = RouteOutput<typeof listOrgGroupsRoute>;
+export type GovOrgGroupMembers = RouteOutput<typeof listOrgGroupMembersRoute>;
+export type GovRoleAccess = RouteOutput<typeof listRoleAccessRoute>;
+
+/**
+ * 成员列表 —— 检索与「含停用」都在**服务端**过滤(那边握着全量,前端只拿要摆的那些)。
+ * 服务端第一次取要几秒(Keycloak 没有批量取角色的口,见 debt),它自己有 60 秒缓存;
+ * 这边 `staleTime` 跟着设一档,免得同一屏的几个组件各要一遍。
+ */
+export const useOrgUsers = (q: string, includeDisabled: boolean): UseQueryResult<GovOrgUsers> =>
+  useQuery({
+    queryKey: ['gov', 'org', 'users', q, includeDisabled],
+    queryFn: () =>
+      call<GovOrgUsers>(listOrgUsersRoute, {
+        query: { q: q === '' ? undefined : q, includeDisabled: includeDisabled ? '1' : undefined },
+      }),
+    staleTime: 30_000,
+  });
+
+export const useOrgUser = (sub: string | undefined): UseQueryResult<GovOrgUserDetail> =>
+  useQuery({
+    queryKey: ['gov', 'org', 'user', sub],
+    queryFn: () => call<GovOrgUserDetail>(getOrgUserRoute, { params: { sub: sub! } }),
+    enabled: sub !== undefined,
+  });
+
+export const useOrgRoles = (): UseQueryResult<GovOrgRoles> =>
+  useQuery({ queryKey: ['gov', 'org', 'roles'], queryFn: () => call<GovOrgRoles>(listOrgRolesRoute), staleTime: 30_000 });
+
+export const useOrgGroups = (): UseQueryResult<GovOrgGroups> =>
+  useQuery({ queryKey: ['gov', 'org', 'groups'], queryFn: () => call<GovOrgGroups>(listOrgGroupsRoute), staleTime: 30_000 });
+
+export const useOrgGroupMembers = (groupId: string | undefined): UseQueryResult<GovOrgGroupMembers> =>
+  useQuery({
+    queryKey: ['gov', 'org', 'group-members', groupId],
+    queryFn: () => call<GovOrgGroupMembers>(listOrgGroupMembersRoute, { params: { id: groupId! } }),
+    enabled: groupId !== undefined,
+  });
+
+/** 角色 → 端 —— 这张表是**本地**的(ADR-012),不是 Keycloak 的字段 */
+export const useRoleAccess = (): UseQueryResult<GovRoleAccess> =>
+  useQuery({ queryKey: ['gov', 'org', 'role-access'], queryFn: () => call<GovRoleAccess>(listRoleAccessRoute) });

apps/web/src/shared/gov/gov-route.ts

@@ -113,10 +113,10 @@ export const ZM: Readonly<Record<GovZone, { title: string; desc: string; accent:
     desc: '活动的运行时:任务 = 活动被调起的一次运行,恰有一名负责人。这里做任务与审批单的在途监控、干预与控制——暂停可恢复、叫停归负责人、终止级联作废。工作流一级去「工作流」区看。',
   },
   people: {
-    title: '员工管理',
+    title: '成员与组织',
     icon: 'users',
     accent: 'linear-gradient(140deg,#2bc7d4,#0e9fd8)',
-    desc: '员工负载、岗位与授权。权限按岗位授予:客体三类 × 动作三种;停用前置检查——在途任务与待答卡须先改派完毕。',
+    desc: '成员与组织的真源是 Keycloak:这里建的人立刻能登录、停的人立刻登不上,没有本地草稿,也没有撤销。权限只到端——一个角色能进设计中心 / 运营中心 / 工作台的哪几个,由本系统的「角色 → 端」表说了算。',
   },
   workflows: {
     title: '流程包管理',
@@ -179,7 +179,10 @@ export const ZM: Readonly<Record<GovZone, { title: string; desc: string; accent:
  * 还留着多格的只有运营侧的任务与员工(它们确实是几个不同维度),
  * 以及 `ledgers`:它的页签是数据域,随发布动态生成(壳层运行时铺开),故此表留空。
  */
-export const TABS: Readonly<Record<GovZone, ReadonlyArray<{ key: string; label: string; ico: string }>>> = {
+/** `hint` 摆在页签栏右端 —— 一句话说清这一格管什么、写下去会发生什么 */
+export const TABS: Readonly<
+  Record<GovZone, ReadonlyArray<{ key: string; label: string; ico: string; hint?: string }>>
+> = {
   blueprint: [{ key: 'map', label: '企业蓝图', ico: 'route' }],
   /*
    * 测试台三格 —— 从前是一格加一个「两档旋钮」,旋钮长在内容里,别处跳不进来、
@@ -209,10 +212,16 @@ export const TABS: Readonly<Record<GovZone, ReadonlyArray<{ key: string; label:
     { key: 'active', label: '激活中', ico: 'zap' },
     { key: 'disabled', label: '已禁用', ico: 'ban' },
   ],
+  /*
+   * 成员与组织(2026-08-26 用户定):三个页签一一对着 Keycloak 的三样东西 ——
+   * 成员 = users、权限 = realm roles、组织 = groups。
+   * 原「岗位授权」与「工作组」两个页签先拿掉(用户定);两处**后端数据与接口原样留着**,
+   * 拿掉的只是入口 —— 岗位仍决定活动派单的候选集,工作组仍在起单那一刻快照进工作流。
+   */
   people: [
-    { key: 'emp', label: '员工', ico: 'users' },
-    { key: 'roles', label: '岗位授权', ico: 'key' },
-    { key: 'groups', label: '工作组', ico: 'users' },
+    { key: 'members', label: '成员', ico: 'users', hint: 'Keycloak 目录投影:成员列表 · 新建 · 启停,点行进详情' },
+    { key: 'perms', label: '权限', ico: 'shield-check', hint: '角色 → 能进哪几个端(本地配置)· 授收角色(穿透 Keycloak)' },
+    { key: 'orgs', label: '组织', ico: 'network', hint: '组织树:建组 / 改名 / 删组 / 成员进出组' },
   ],
   ledgers: [], // 动态:页签即数据域(短名呈现),由壳层按已发布域生成
   system: [{ key: 'chan', label: '通道实例', ico: 'mail' }],