all-project/问题整改/P0-rs-init-update-menu免登整改说明.md

P0：POST /rs/init/update-menu 免登录整改说明

问题

RsInitController#updateMenu 标注了 @SaIgnore，未登录即可删除并重建 sys_menu / sys_role_menu（menu_id 2000–2028），属于未授权写操作。

整改

• 移除 @SaIgnore，恢复 Sa-Token 登录校验。
• 增加 @SaCheckPermission("system:menu:edit")，仅具备系统菜单编辑权限的账号可调用。

涉及文件

• backend/ruoyi-modules/ruoyi-rs/src/main/java/org/dromara/rs/controller/RsInitController.java

验证

未带 Token 调用 POST /prod-api/rs/init/update-menu 应返回未登录（401）。
已登录但无 system:menu:edit 权限应返回无权限。