geng

server/app/adminapi/http/middleware/AuthMiddleware.php

@@ -74,11 +74,13 @@ class AuthMiddleware
         // 全部路由
         $allUri = $this->formatUrl($adminAuthCache->getAllUri());
 
-        // 判断该当前访问的uri是否存在，不存在无需验证
-        if (!in_array($accessUri, $allUri, true)
-            && !PharmacyUploadPermissionAlias::allows($accessUri, $allUri)) {
-            return $next($request);
-        }
+        // 判断该当前访问的uri是否存在，不存在无需验证
+        if (!in_array($accessUri, $allUri, true)
+            && !PharmacyUploadPermissionAlias::allows($accessUri, $allUri)
+            && !($accessUri === 'tcm.diagnosis/aiassistantstream'
+                && in_array('tcm.diagnosis/aiassistant', $allUri, true))) {
+            return $next($request);
+        }
 
         // 当前管理员拥有的路由权限
         $AdminUris = $adminAuthCache->getAdminUri() ?? [];
@@ -109,9 +111,16 @@ class AuthMiddleware
      * 日常记录权限域：前端统一收口到 tcm.diagnosis/dailyRecord，
      * 但待办/跟踪备注接口仍保留历史路由名，故在鉴权层做精确别名映射。
      */
-    private function matchPermissionAlias(string $accessUri, array $adminUris): bool
-    {
-        if (PharmacyUploadPermissionAlias::isControlled($accessUri)) {
+    private function matchPermissionAlias(string $accessUri, array $adminUris): bool
+    {
+        // AI 助手流式端点与旧 blocking 端点共享同一权限；别名同时用于
+        // allUri 判定和当前管理员权限判定，确保在 SSE headers 前完成鉴权。
+        if ($accessUri === 'tcm.diagnosis/aiassistantstream'
+            && in_array('tcm.diagnosis/aiassistant', $adminUris, true)) {
+            return true;
+        }
+
+        if (PharmacyUploadPermissionAlias::isControlled($accessUri)) {
             return PharmacyUploadPermissionAlias::allows($accessUri, $adminUris);
         }