提交

问题整改/P0-rs-init-update-menu免登整改说明.md

@@ -0,0 +1,19 @@
+# P0：`POST /rs/init/update-menu` 免登录整改说明
+
+## 问题
+
+`RsInitController#updateMenu` 标注了 `@SaIgnore`，未登录即可删除并重建 `sys_menu` / `sys_role_menu`（menu_id 2000–2028），属于未授权写操作。
+
+## 整改
+
+- 移除 `@SaIgnore`，恢复 Sa-Token 登录校验。
+- 增加 `@SaCheckPermission("system:menu:edit")`，仅具备系统菜单编辑权限的账号可调用。
+
+## 涉及文件
+
+- `backend/ruoyi-modules/ruoyi-rs/src/main/java/org/dromara/rs/controller/RsInitController.java`
+
+## 验证
+
+未带 Token 调用 `POST /prod-api/rs/init/update-menu` 应返回未登录（401）。  
+已登录但无 `system:menu:edit` 权限应返回无权限。