التفويض ونطاق المورد الآمن للمستأجر

def may_edit(subject, note):
    if not subject or not note or subject.get("validated") is not True:
        return False
    organization = subject.get("organization")
    subject_id = subject.get("id")
    if not isinstance(organization, str) or not organization or not isinstance(subject_id, str) or not subject_id:
        return False
    return (organization == note.get("organization")
            and subject.get("role") == "editor"
            and subject_id in note.get("assigned", []))

note = {"organization": "lab-org-a", "assigned": ["lab-user-a"]}
owner = {"validated": True, "organization": "lab-org-a", "role": "editor", "id": "lab-user-a"}
other = {**owner, "organization": "lab-org-b"}
assert may_edit(owner, note)
assert not may_edit(other, note)
assert not may_edit(None, note)
assert not may_edit({**owner, "organization": None}, {**note, "organization": None})

تمارس التحققات سماحاً وثلاثة مسارات رفض بحقائق مخترعة. يفترض ثبوت validated في موضع آخر؛ ليست الدالة وسيط مصادقة. لا تصل إلى بيانات محمية أو خدمة مهيأة.

{
  "operation": "edit-assigned-note",
  "requiredCases": ["assigned-same-organization", "unassigned-same-organization", "different-organization", "missing-subject"],
  "denyInvariant": "no-record-job-or-notification-change",
  "ownerRole": "access-policy-maintainer",
  "environment": "synthetic-plan-only"
}

السجل خاص بالتطبيق، لا سياسة تنفيذية أو معرّف ضبط معياري. تحتاج كل حالة مسماة دليلاً من حد التنفيذ الملائم، بما فيه ثبات الحالة عند الرفض.