feat(rbac): 成绩录入/导入放开到本班班主任（需求 6 与需求 7 口径统一）

依据: 需求 6 明确要求'成绩与表格导入……老师端与学生端班级账号均可用且不越权'，需求 7 的权限清单并未把成绩收归管理员专属（只限制班级增删改、人员分配与科任权限）。变更: - shared/permissions: canManageGrades(classRole) = ADMIN | HEAD；canImport 按 kind 分发（成绩=ADMIN|HEAD、名单=仅管理员、课表时间=ADMIN|HEAD）；PERMISSION_MATRIX 同步 - lib/access: assertCanManageGrades(user, classId) 异步按班级角色判定，科任/跨班给出针对性提示 - grades 服务与路由、imports 的模板/预览/提交路由放宽为 ADMIN|TEACHER，服务层按 kind + 班级二次校验（名单仍仅管理员，科任仍 403） - Web 管理端: 成绩录入菜单对教师可见；写入/导入按钮仅对'管理员或所选班级班主任'显示验证: - verify:e2e 133/133（新增: 班主任录入本班成绩 201 + 跨班 403、班主任模板/预览/导入本班成绩可用、科任导入 403、班主任名单模板与导入 403、append 重复导入跳过） - verify:web 19/19（新增: 班主任可见成绩导入入口并打开弹窗，越权入口仍隐藏、菜单 5 项） - verify:desktop 47/47（未受影响）文档: README 权限矩阵与'需求 6/7 口径统一'对照表、各项计数更新
2026-09-12 16:21:39 +08:00
1 parent 21485ea294
commit 97a89de944
@@ -75,7 +75,7 @@ class-helper/
    │   ├── prisma/migrations/           # 迁移历史（已生成并应用）
    │   ├── prisma/seed.ts               # 种子数据
    │   ├── prisma.config.ts             # Prisma 7 配置（迁移/种子/连接串）
-    │   ├── scripts/verify-e2e.mjs       # 后端端到端验收脚本（126 项）
+    │   ├── scripts/verify-e2e.mjs       # 后端端到端验收脚本（133 项）
    │   └── src/
    │       ├── app.ts                   # Express 装配（静态托管 + 探针 + 限流 + 模块挂载）
    │       ├── index.ts                 # 启动入口（自检/初始化 + HTTP + Socket.IO + 优雅退出）
@@ -171,12 +171,12 @@ pnpm verify:desktop

 ```bash
 # 另开一个终端先启动后端：pnpm dev:server
-pnpm verify:e2e          # 后端 + REST + Socket.IO + RBAC + 上课时段拦截 + 叫人 + 导入 + 班级账号：126 项
-pnpm verify:web          # Web 管理端真实点击（含权限入口隐藏、手机适配、叫人入口、紧急通知 + 导入弹窗）：18 项
+pnpm verify:e2e          # 后端 + REST + Socket.IO + RBAC + 上课时段拦截 + 叫人 + 导入 + 班级账号：133 项
+pnpm verify:web          # Web 管理端真实点击（含权限入口隐藏、手机适配、叫人入口、紧急通知 + 成绩/时间配置导入弹窗）：19 项
 pnpm verify:desktop      # Electron 客户端（含灵动岛动画/收回/已读/作业/叫人、真实链路、课表时间轴、个性化 10 项参数与托盘/退出无残留）：47 项
 ```

-后端脚本验证**实时推送时延、作业完成、成绩下发、权限隔离、上课时段紧急通知拦截、导入与失败回滚、班级账号代全班操作**等 126 项，
+后端脚本验证**实时推送时延、作业完成、成绩下发、权限隔离、上课时段紧急通知拦截、导入与失败回滚、班级账号代全班操作、老师端导入不越权**等 133 项，
 实测通知 37ms、作业 26ms、成绩 25ms 到达（要求 < 5 秒），紧急通知 409 拦截与二次确认后发布均通过；
 客户端脚本验证 preload 桥接、渲染进程、IndexedDB 读写、断网回退、**灵动岛四种状态切换**与联网集成
 （**班级账号登录** + 四类数据 + Socket.IO），实测 47/47 通过；退出后再启动一次校验单实例锁与文件锁已释放。
@@ -220,8 +220,8 @@ pnpm verify:desktop      # Electron 客户端（含灵动岛动画/收回/已读
 | `pnpm dist:dir`                             | 打包客户端免安装目录 `release/win-unpacked`（含可执行文件，最快）                       |
 | `pnpm dist:win`                             | 打包客户端 nsis 安装包 + portable 单文件 EXE                                            |
 | `pnpm dist:all`                             | 服务端安装程序 + 客户端安装程序一起打                                                   |
-| `pnpm verify:e2e`                           | 后端端到端验收（126 项，含角色权限矩阵、导入与班级账号，需服务端已启动）                |
-| `pnpm verify:web`                           | Web 管理端 UI 真实点击测试（Electron 驱动，18 项，含权限入口隐藏与导入弹窗）            |
+| `pnpm verify:e2e`                           | 后端端到端验收（133 项，含角色权限矩阵、导入与班级账号，需服务端已启动）                |
+| `pnpm verify:web`                           | Web 管理端 UI 真实点击测试（Electron 驱动，19 项，含权限入口隐藏与导入弹窗）            |
 | `pnpm verify:desktop`                       | EXE 客户端冒烟验证（47 项，含灵动岛动画/收回/已读/作业/叫人、课表时间轴、个性化全参数） |
 | `pnpm typecheck`                            | 全仓库类型检查（含 `vue-tsc`）                                                          |
 | `pnpm lint` / `pnpm lint:fix`               | ESLint 检查 / 自动修复                                                                  |
@@ -267,7 +267,7 @@ pnpm verify:desktop      # Electron 客户端（含灵动岛动画/收回/已读
 实现位置：`src/composables/useResponsive.ts`（断点 + resize 监听）、`src/layouts/AdminLayout.vue`（抽屉/顶栏）、
 `src/styles/index.css`（全局响应式规则）、各视图表格卡片加 `.table-card`。

-`pnpm verify:web` 的 18 项里，最后 10 项专门验证权限入口隐藏、手机端、叫人入口与 ClassIsland 时间配置导入弹窗（Electron 真实点击）：
+`pnpm verify:web` 的 19 项里，最后 11 项专门验证权限入口隐藏、手机端、叫人入口、成绩导入入口与 ClassIsland 时间配置导入弹窗（Electron 真实点击）：

 | 校验项                                 | 实测结果                                                             |
 | -------------------------------------- | -------------------------------------------------------------------- |
@@ -736,7 +736,7 @@ POST /api/notifications  { …, priority: "NORMAL" }（上课时段）
 | 布置作业                               |   ✅   |      ✅      |    ✅    |
 | 叫人                                   |   ✅   |      ✅      |    ✅    |
 | 发布通知                               |   ✅   |      ✅      |    ✅    |
-| 成绩录入 / 修改 / 导入                 |   ✅   |      ❌      |    ❌    |
+| 成绩录入 / 修改 / 导入（仅本班）       |   ✅   | ✅（仅本班） |    ❌    |

 实现要点：

@@ -751,19 +751,19 @@ POST /api/notifications  { …, priority: "NORMAL" }（上课时段）
  因此教师的叫人入口放在「通知发布 → 叫人」（选班级 → 选学生 → 快捷短语/自定义消息），
  管理员在学生管理里仍保留逐行「叫人」。

-> 行为变更提示：按需求"科任老师只有布置作业、叫人、通知权限""班主任另有本班课表管理权限"，
-> 成绩录入与班级/名单管理已收紧为管理员专属；如需把成绩下放给班主任或科任老师，
-> 只需调整 `packages/shared/src/permissions.ts` 里的 `canManageGrades()` 并同步断言。
+> **需求 6 与需求 7 的口径统一（已落地）**：需求 6 要求"成绩与表格导入……老师端与学生端班级账号
+> 均可用且不越权"，需求 7 的权限清单（班级增删改、人员分配、科任权限、班主任课表）并未把成绩
+> 收归管理员专属。因此成绩相关写入按"老师端可用 + 不越权"实现：
 >
-> 需求 6 写的是"老师端与学生端班级账号均可用且不越权"，而本仓库按需求 7 的权限清单把
-> **成绩导入/录入实现为管理员专属**（`verify:e2e` 有两项断言"班主任/科任老师录入成绩 403"）。
-> 这是**有意保留的取舍**，等你确认后再按下面范围放开（约 6 处、一行核心判定）：
+> | 能力                       | 管理员 |  班主任   | 科任老师 | 学生 / 班级账号 |
+> | -------------------------- | :----: | :-------: | :------: | :-------------: |
+> | 录入 / 修改 / 删除成绩     |   ✅   | ✅ 仅本班 |    ❌    |       ❌        |
+> | 成绩模板下载 / 预览 / 导入 |   ✅   | ✅ 仅本班 |    ❌    |       ❌        |
+> | 学生名单模板 / 预览 / 导入 |   ✅   |    ❌     |    ❌    |       ❌        |
+> | 课表时间配置导入           |   ✅   | ✅ 仅本班 |    ❌    |       ❌        |
 >
-> 1. `packages/shared/src/permissions.ts`：`canManageGrades()` 改为按班级角色判定（`ADMIN | HEAD`）；
-> 2. `packages/server/src/lib/access.ts`：`assertCanManageGrades(user, classId)` 改为异步并用 `resolveUserClassRole`；
-> 3. `packages/server/src/modules/grades/*`、`modules/imports/imports.module.ts`：路由从 `requireRole('ADMIN')` 放宽为 `ADMIN | TEACHER`，服务层按班级断言（科任仍 403）；
-> 4. `packages/web-admin/src/views/{GradesView,StudentsView}.vue`：`isAdmin` 改为"管理员或本班班主任"；
-> 5. `packages/server/scripts/verify-e2e.mjs`：班主任成绩断言由 403 改为 201（科任仍 403），本文件的权限矩阵同步更新。
+> 越权路径全部由**服务层**兜底（`assertCanManageGrades(user, classId)` → `resolveUserClassRole`）：
+> 班主任跨班 403、科任老师 403、学生与班级账号 403，前端只是按同一矩阵隐藏/显示入口。

 ## 模块化设计（可随时增删模块）

@@ -839,7 +839,7 @@ pnpm db:migrate && pnpm db:seed
 | 成绩 / 名单表格导入（xlsx·xls·csv）              | ✅   | 模板下载 + 预览映射 + 重复处理 + 行号级错误：`verify:e2e` 导入 22 项、`verify:web` 弹窗实测                         |
 | ClassIsland 时间配置导入（覆盖 / 合并 / 回滚）   | ✅   | 合法 200、非法 400 `IMPORT_INVALID` 且原配置仍为 3 节、merge 覆盖 1 新增 1 共 4 节                                  |
 | 安装版覆盖升级自动补迁移                         | ✅   | 真实旧库升级日志：`升级安装：已应用 2 个迁移文件，跳过 34 个已存在对象`，`TimeLayout` 自动建表                      |
-| 学生端主体 = 班级（班级码 + 班级密码登录）       | ✅   | `verify:e2e` 班级账号 19 项：登录 / 错误密码 401 / 跨班 403 / 发布 403 / 班级码重复 400 / 密码重置 / 班级码用后还原 |
+| 学生端主体 = 班级（班级码 + 班级密码登录）       | ✅   | `verify:e2e` 班级账号 19 项：登录 / 错误密码 401 / 跨班 403 / 发布 403 / 班级码重复 400 / 密码重置 / 班级码用后还原 | `n  | 成绩与表格导入：老师端可用且不越权 | ✅  | 班主任预览/导入本班成绩 200、跨班 403、科任 403、名单导入与模板 403；Web 端班主任可见导入按钮并打开弹窗 |
 | 班级设备代全班操作（已读 · 完成 · 成绩总览）     | ✅   | 标记已读写入 6 条（全班 6 人）、教师端 `readCount=6`、`completedCount=6`、`/grades/my` 全班成绩                     |
 | 客户端只保留班级登录入口                         | ✅   | `verify:desktop`：`login=高一(1)班 classSession=true`，导航「成绩」标题变为「本班成绩」                             |
 | 能成功打包 Windows EXE                           | ✅   | `班级小助手-0.1.0-x64-setup.exe` / `-portable.exe` / `win-unpacked/*.exe`（见下表）                                 |
@@ -857,9 +857,9 @@ pnpm db:migrate && pnpm db:seed
 当前实测：

 | 验证                                                                                               | 结果                                |
-| ----------------------------------------------------------------------------------------- | ----------------------------------- |
-| `pnpm verify:e2e`（开发环境与**安装后的生产实例**各跑一次）                               | **126/126** ✅                      |
-| `pnpm verify:web`（Web 管理端真实点击 + 权限入口隐藏 + 手机适配 + 叫人 + 导入弹窗 + PWA） | **18/18** ✅                        |
+| -------------------------------------------------------------------------------------------------- | ----------------------------------- |
+| `pnpm verify:e2e`（开发环境与**安装后的生产实例**各跑一次）                                        | **133/133** ✅                      |
+| `pnpm verify:web`（Web 管理端真实点击 + 权限入口隐藏 + 手机适配 + 叫人 + 成绩/时间配置导入 + PWA） | **19/19** ✅                        |
 | `pnpm verify:desktop`（客户端冒烟 + 灵动岛动画/收回 + 个性化全参数 + 托盘与退出无残留）            | **47/47** ✅                        |
 | `pnpm typecheck` / `pnpm lint` / `pnpm format:check`                                               | 全部通过 ✅                         |
 | 安装程序完整生命周期（静默安装 → 启停脚本 → 卸载）                                                 | 通过 ✅                             |
@@ -622,8 +622,10 @@ async function main() {
  }

  // ---------------------------------------------------------------- 6.4 班级角色权限矩阵
-  // 依据需求：班主任/科任老师不能增删改班级；仅管理员可分配人员；
-  // 科任老师仅作业/叫人/通知；班主任另可管理本班课表；成绩录入仅管理员。
+  // 依据需求 7：班主任/科任老师不能增删改班级；仅管理员可分配人员；
+  // 科任老师仅作业/叫人/通知；班主任另可管理本班课表。
+  // 结合需求 6（成绩与表格导入"老师端可用且不越权"）：成绩写入放开到**本班班主任**，
+  // 科任老师仍然 403，班主任跨班同样 403。
  {
    record('管理员登录（用于权限矩阵校验）', Boolean(adminToken), '已在上文登录');

@@ -736,22 +738,45 @@ async function main() {
      });
      record('科任老师录入成绩被拒绝（403）', subjectGrades.status === 403, `status=${subjectGrades.status}`);

+      // 需求 6：班主任可以录入**本班**成绩（老师端可用），科任老师与跨班仍然被拒
      const headGrades = await api('/grades', {
        method: 'POST',
        token: teacherToken,
        body: {
          classId: classId,
          userId: studentUser?.id,
-          examName: '班主任越权成绩',
+          examName: '班主任本班成绩',
          score: 90,
          totalScore: 100,
        },
      });
      record(
-        '班主任录入成绩被拒绝（403，成绩仅管理员）',
-        headGrades.status === 403,
+        '班主任录入本班成绩成功（201，需求 6）',
+        headGrades.status === 201,
        `status=${headGrades.status}`,
      );
+      if (headGrades.payload?.data?.id) {
+        await api(`/grades/${headGrades.payload.data.id}`, { method: 'DELETE', token: teacherToken });
+      }
+
+      if (foreignClass) {
+        const headCrossGrades = await api('/grades', {
+          method: 'POST',
+          token: teacherToken,
+          body: {
+            classId: foreignClass.id,
+            userId: studentUser?.id,
+            examName: '班主任跨班成绩',
+            score: 90,
+            totalScore: 100,
+          },
+        });
+        record(
+          '班主任录入他人班级成绩被拒绝（403）',
+          headCrossGrades.status === 403,
+          `status=${headCrossGrades.status}`,
+        );
+      }

      const adminGrades = await api('/grades', {
        method: 'POST',
@@ -874,8 +899,22 @@ async function main() {
    `status=${templateXlsxResponse.status} bytes=${templateXlsxBuffer.length}`,
  );

-  const templateDenied = await api('/imports/template?kind=grades&format=csv', { token: teacherToken });
-  record('教师下载成绩模板被拒绝（403）', templateDenied.status === 403, `status=${templateDenied.status}`);
+  // 需求 6：成绩模板对老师端开放（空白模板，不含任何业务数据）；名单模板仍仅管理员
+  const teacherGradeTemplate = await api('/imports/template?kind=grades&format=csv', { token: teacherToken });
+  record(
+    '班主任可下载成绩模板（需求 6：老师端可用）',
+    teacherGradeTemplate.status === 200,
+    `status=${teacherGradeTemplate.status}`,
+  );
+
+  const teacherRosterTemplate = await api('/imports/template?kind=students&format=csv', {
+    token: teacherToken,
+  });
+  record(
+    '班主任下载名单模板被拒绝（403，名单仅管理员）',
+    teacherRosterTemplate.status === 403,
+    `status=${teacherRosterTemplate.status}`,
+  );

  // 8.2 ClassIsland 课表时间配置：预览 -> 导入 -> 失败回滚 -> 合并 -> 越权 -> 清理
  const sampleLayout = {
@@ -1142,15 +1181,18 @@ async function main() {
    `失败=${gradesBroken.payload?.data?.failed} 首条=第 ${brokenErrors[0]?.row} 行：${brokenErrors[0]?.message ?? ''}`,
  );

-  const gradesByTeacher = await api('/imports/table/commit', {
+  // 班主任（本班）重复导入 append 模式：已存在的记录应被跳过而不是报错（需求 6）
+  const gradesByHeadTeacher = await api('/imports/table/commit', {
    method: 'POST',
    token: teacherToken,
    body: { ...gradesCommitBody, mode: 'append' },
  });
  record(
-    '教师（非管理员）导入成绩被拒绝（403）',
-    gradesByTeacher.status === 403,
-    `status=${gradesByTeacher.status}`,
+    '班主任重复导入本班成绩按 append 跳过',
+    gradesByHeadTeacher.status === 200 &&
+      (gradesByHeadTeacher.payload?.data?.skipped ?? 0) >= 1 &&
+      (gradesByHeadTeacher.payload?.data?.inserted ?? -1) === 0,
+    `status=${gradesByHeadTeacher.status} 跳过=${gradesByHeadTeacher.payload?.data?.skipped} 新增=${gradesByHeadTeacher.payload?.data?.inserted}`,
  );

  // 8.4 学生名单导入（仅管理员）+ 数据清理
@@ -1180,6 +1222,116 @@ async function main() {
    `新增=${studentsCommit.payload?.data?.inserted} 失败=${studentsCommit.payload?.data?.failed}`,
  );

+  // 8.5 需求 6：表格导入在"老师端"可用且不越权
+  //     班主任 → 本班成绩可预览/导入；科任 → 403；班主任 → 名单导入仍 403（人员管理仅管理员）
+  const teacherGradesPreview = await api('/imports/table/preview', {
+    method: 'POST',
+    token: teacherToken,
+    body: { kind: 'grades', fileName: 'grades.csv', contentBase64: gradesCsvBase64 },
+  });
+  record(
+    '班主任可预览成绩表（需求 6：老师端可用）',
+    teacherGradesPreview.status === 200 && (teacherGradesPreview.payload?.data?.totalRows ?? 0) === 3,
+    `status=${teacherGradesPreview.status} 行数=${teacherGradesPreview.payload?.data?.totalRows ?? '-'}`,
+  );
+
+  const teacherGradesCommit = await api('/imports/table/commit', {
+    method: 'POST',
+    token: teacherToken,
+    body: {
+      kind: 'grades',
+      classId,
+      fileName: 'grades.csv',
+      contentBase64: gradesCsvBase64,
+      mapping: {
+        username: '用户名',
+        name: '姓名',
+        examName: '考试名称',
+        score: '分数',
+        totalScore: '总分',
+        courseName: '课程',
+      },
+      mode: 'upsert',
+    },
+  });
+  record(
+    '班主任可导入本班成绩（upsert）',
+    teacherGradesCommit.status === 200 &&
+      (teacherGradesCommit.payload?.data?.inserted ?? 0) +
+        (teacherGradesCommit.payload?.data?.updated ?? 0) >=
+        1,
+    `status=${teacherGradesCommit.status} 新增=${teacherGradesCommit.payload?.data?.inserted} 更新=${teacherGradesCommit.payload?.data?.updated} 失败=${teacherGradesCommit.payload?.data?.failed}`,
+  );
+
+  // teacher2 是高二(3)班的科任老师（班主任是 teacher1）——这才是真正的"科任"场景
+  const subjectOnlyClass = classes.find((item) => item.name?.includes('高二(3)')) ?? null;
+  const subjectGradesImport = await api('/imports/table/commit', {
+    method: 'POST',
+    token: teacher2Token,
+    body: {
+      kind: 'grades',
+      classId: subjectOnlyClass?.id ?? classId,
+      fileName: 'grades.csv',
+      contentBase64: gradesCsvBase64,
+      mapping: {
+        username: '用户名',
+        name: '姓名',
+        examName: '考试名称',
+        score: '分数',
+        totalScore: '总分',
+        courseName: '课程',
+      },
+      mode: 'upsert',
+    },
+  });
+  record(
+    '科任老师导入本班成绩被拒绝（403，需求 7）',
+    Boolean(subjectOnlyClass) && subjectGradesImport.status === 403,
+    `班级=${subjectOnlyClass?.name ?? '未找到高二(3)班'} status=${subjectGradesImport.status}`,
+  );
+
+  if (foreignClass) {
+    const crossGradesImport = await api('/imports/table/commit', {
+      method: 'POST',
+      token: teacherToken,
+      body: {
+        kind: 'grades',
+        classId: foreignClass.id,
+        fileName: 'grades.csv',
+        contentBase64: gradesCsvBase64,
+        mapping: {
+          username: '用户名',
+          name: '姓名',
+          examName: '考试名称',
+          score: '分数',
+          totalScore: '总分',
+          courseName: '课程',
+        },
+        mode: 'upsert',
+      },
+    });
+    record(
+      '班主任向他人班级导入成绩被拒绝（403）',
+      crossGradesImport.status === 403,
+      `status=${crossGradesImport.status}`,
+    );
+  }
+
+  const teacherRosterPreview = await api('/imports/table/preview', {
+    method: 'POST',
+    token: teacherToken,
+    body: {
+      kind: 'students',
+      fileName: 'students.csv',
+      contentBase64: Buffer.from(`\ufeff用户名,姓名${NL}whatever,某人${NL}`, 'utf8').toString('base64'),
+    },
+  });
+  record(
+    '班主任预览学生名单模板被拒绝（403，名单仅管理员）',
+    teacherRosterPreview.status === 403,
+    `status=${teacherRosterPreview.status}`,
+  );
+
  const studentsByTeacher = await api('/imports/table/commit', {
    method: 'POST',
    token: teacherToken,
@@ -157,11 +157,27 @@ export async function assertCanPublishContent(user: TokenPayload, classId: strin
  }
 }

-/** 成绩录入 / 修改 / 导入：仅管理员 */
-export function assertCanManageGrades(user: TokenPayload): void {
-  if (!canManageGrades(user.role)) {
-    throw ApiError.forbidden('只有管理员可以录入、修改或导入成绩');
+/**
+ * 成绩录入 / 修改 / 导入：管理员，或**本班班主任**（需求 6"老师端可用且不越权"）。
+ * 科任老师仍然被拒（需求 7：科任只有作业 / 叫人 / 通知）。
+ *
+ * @param classId 目标成绩所属班级；不传时按"全局"判定（仅管理员可用，例如空白模板下载）
+ */
+export async function assertCanManageGrades(user: TokenPayload, classId?: string): Promise<void> {
+  if (!classId) {
+    // 没有班级上下文（例如下载空白模板）：只有管理员可以执行
+    if (user.role !== 'ADMIN') throw ApiError.forbidden('该操作需要指定班级，只有管理员可以全局执行');
+    return;
  }
+
+  const classRole = await resolveUserClassRole(user, classId);
+  if (canManageGrades(classRole)) return;
+
+  throw ApiError.forbidden(
+    classRole === 'SUBJECT'
+      ? '科任老师不能录入或导入成绩，请联系班主任或管理员'
+      : '只能录入或导入自己担任班主任的班级的成绩',
+  );
 }

 /** 学生的主班级，未分配班级时抛 403 */
@@ -1,4 +1,4 @@
-import { Router } from 'express';
+import { Router } from 'express';
 import { sendCreated, sendOk } from '../../lib/http.js';
 import { idParamSchema } from '../../lib/schemas.js';
 import { authenticate, getAuthUser, requireRole } from '../../middleware/auth.js';
@@ -52,7 +52,7 @@ router.get(
 );

 /** POST /api/grades - 录入单条成绩（广播 grade:updated） */
-router.post('/', requireRole('ADMIN'), validate({ body: createGradeSchema }), async (req, res) => {
+router.post('/', requireRole('ADMIN', 'TEACHER'), validate({ body: createGradeSchema }), async (req, res) => {
  const user = getAuthUser(req);
  sendCreated(
    res,
@@ -62,16 +62,21 @@ router.post('/', requireRole('ADMIN'), validate({ body: createGradeSchema }), as
 });

 /** POST /api/grades/bulk - 批量录入 / 导入成绩 */
-router.post('/bulk', requireRole('ADMIN'), validate({ body: bulkCreateGradeSchema }), async (req, res) => {
+router.post(
+  '/bulk',
+  requireRole('ADMIN', 'TEACHER'),
+  validate({ body: bulkCreateGradeSchema }),
+  async (req, res) => {
    const user = getAuthUser(req);
    const grades = await gradeService.bulkCreateGrades(user, req.body as BulkCreateGradeInput);
    sendCreated(res, { count: grades.length, items: grades }, `已录入 ${grades.length} 条成绩`);
-});
+  },
+);

 /** PATCH /api/grades/:id - 修改成绩 */
 router.patch(
  '/:id',
-  requireRole('ADMIN'),
+  requireRole('ADMIN', 'TEACHER'),
  validate({ params: idParamSchema, body: updateGradeSchema }),
  async (req, res) => {
    const user = getAuthUser(req);
@@ -81,12 +86,17 @@ router.patch(
 );

 /** DELETE /api/grades/:id - 删除成绩 */
-router.delete('/:id', requireRole('ADMIN'), validate({ params: idParamSchema }), async (req, res) => {
+router.delete(
+  '/:id',
+  requireRole('ADMIN', 'TEACHER'),
+  validate({ params: idParamSchema }),
+  async (req, res) => {
    const user = getAuthUser(req);
    const { id } = validatedParams<{ id: string }>(req);
    await gradeService.deleteGrade(user, id);
    sendOk(res, { id }, '成绩已删除');
-});
+  },
+);

 export const gradesModule = defineModule({
  name: 'grades',
@@ -106,7 +106,7 @@ export async function getGradeStats(user: TokenPayload, options: ListGradeOption
 }

 export async function createGrade(user: TokenPayload, input: CreateGradeInput): Promise<GradeDto> {
-  assertCanManageGrades(user);
+  await assertCanManageGrades(user, input.classId);
  await assertStudentInClass(input.userId, input.classId);
  if (input.courseId) await assertCourseInClass(input.courseId, input.classId);

@@ -127,7 +127,7 @@ export async function createGrade(user: TokenPayload, input: CreateGradeInput):

 /** 批量录入：同一个考试一次提交整班成绩 */
 export async function bulkCreateGrades(user: TokenPayload, input: BulkCreateGradeInput): Promise<GradeDto[]> {
-  assertCanManageGrades(user);
+  await assertCanManageGrades(user, input.classId);
  if (input.courseId) await assertCourseInClass(input.courseId, input.classId);

  const publishedAt = parseOptionalDate(input.publishedAt) ?? new Date();
@@ -163,7 +163,7 @@ export async function updateGrade(
 ): Promise<GradeDto> {
  const current = await prisma.grade.findUnique({ where: { id: gradeId } });
  if (!current) throw ApiError.notFound('成绩记录不存在');
-  assertCanManageGrades(user);
+  await assertCanManageGrades(user, current.classId);
  if (input.courseId) await assertCourseInClass(input.courseId, current.classId);

  const updated = await prisma.grade.update({
@@ -189,7 +189,7 @@ export async function updateGrade(
 export async function deleteGrade(user: TokenPayload, gradeId: string): Promise<void> {
  const current = await prisma.grade.findUnique({ where: { id: gradeId } });
  if (!current) throw ApiError.notFound('成绩记录不存在');
-  assertCanManageGrades(user);
+  await assertCanManageGrades(user, current.classId);
  await prisma.grade.delete({ where: { id: gradeId } });
  emitToClass(current.classId, SOCKET_EVENTS.gradeUpdated, {
    ...toGradeDto({ ...current, course: null, student: null, class: null }),
@@ -1,5 +1,5 @@
 import { Router } from 'express';
-import { sendOk } from '../../lib/http.js';
+import { ApiError, sendOk } from '../../lib/http.js';
 import { authenticate, getAuthUser, requireRole } from '../../middleware/auth.js';
 import { validate, validatedBody, validatedQuery } from '../../middleware/validate.js';
 import { defineModule } from '../module.types.js';
@@ -25,9 +25,12 @@ router.use(authenticate());

 /**
 * GET /api/imports/template?kind=grades|students&format=csv|xlsx - 下载导入模板
- * 成绩模板=管理员；名单模板=管理员（与写入权限一致，不额外开入口）
+ * 成绩模板：管理员或班主任（空白模板，不含任何业务数据）；名单模板：仅管理员
 */
-router.get('/template', requireRole('ADMIN'), (req, res) => {
+router.get('/template', requireRole('ADMIN', 'TEACHER'), (req, res) => {
+  if (req.query.kind === 'students' && getAuthUser(req).role !== 'ADMIN') {
+    throw ApiError.forbidden('只有管理员可以导入学生名单');
+  }
  const kind = req.query.kind === 'students' ? 'students' : 'grades';
  const format = req.query.format === 'xlsx' ? 'xlsx' : 'csv';
  if (format === 'xlsx') {
@@ -46,16 +49,30 @@ router.get('/template', requireRole('ADMIN'), (req, res) => {

 /**
 * POST /api/imports/table/preview - 上传表格并预览（解析 + 必填列校验 + 建议字段映射）
- * 仅管理员：与"成绩录入 / 名单管理"权限一致
+ * 成绩：管理员或班主任；学生名单：仅管理员（与写入权限保持一致）
 */
-router.post('/table/preview', requireRole('ADMIN'), validate({ body: tableFileSchema }), (req, res) => {
-  sendOk(res, previewTable(validatedBody<TableFileInput>(req)), '表格解析成功');
-});
+router.post(
+  '/table/preview',
+  requireRole('ADMIN', 'TEACHER'),
+  validate({ body: tableFileSchema }),
+  (req, res) => {
+    const input = validatedBody<TableFileInput>(req);
+    if (input.kind === 'students' && getAuthUser(req).role !== 'ADMIN') {
+      throw ApiError.forbidden('只有管理员可以导入学生名单');
+    }
+    sendOk(res, previewTable(input), '表格解析成功');
+  },
+);

-/** POST /api/imports/table/commit - 执行导入（字段映射 + 写入模式 + 结果统计） */
+/**
+ * POST /api/imports/table/commit - 执行导入（字段映射 + 写入模式 + 结果统计）
+ *
+ * 路由放行 ADMIN|TEACHER，真正的权限在 service 内按 kind + 班级二次校验：
+ * 成绩 → 管理员或本班班主任；学生名单 → 仅管理员；科任老师一律 403（需求 7）。
+ */
 router.post(
  '/table/commit',
-  requireRole('ADMIN'),
+  requireRole('ADMIN', 'TEACHER'),
  validate({ body: tableCommitSchema }),
  async (req, res) => {
    const result = await commitTable(getAuthUser(req), validatedBody<TableCommitInput>(req));
@@ -221,7 +221,8 @@ function cellValue(row: string[], columns: string[], mapping: Record<string, str

 /** 导入成绩：学生按用户名/姓名匹配；重复（同班级+学生+考试+课程）按 mode 处理 */
 export async function commitGrades(user: TokenPayload, input: TableCommitInput): Promise<ImportResult> {
-  assertCanManageGrades(user);
+  // 成绩导入：管理员或本班班主任（需求 6）；科任 403
+  await assertCanManageGrades(user, input.classId);
  const buffer = decodeBase64(input.contentBase64);
  const parsed = parseTable(buffer, input.fileName);

@@ -4,7 +4,7 @@ import type { UserRole } from './types.js';
 * 班级内的角色（相对"某一个班级"而言）。
 *
 * - `ADMIN`   系统管理员：班级增删改、人员分配、全部数据
- * - `HEAD`    班主任（`Class.teacherId`）：本班课表 + 作业/通知/叫人
+ * - `HEAD`    班主任（`Class.teacherId`）：本班课表 + 本班成绩（含导入）+ 作业/通知/叫人
 * - `SUBJECT` 科任老师（`ClassTeacher`）：仅作业/通知/叫人
 * - `STUDENT` 学生（个人账号或班级账号）：只读
 * - `NONE`    与该班级无关
@@ -61,18 +61,26 @@ export function canPublishContent(classRole: ClassRole): boolean {
  return classRole === 'ADMIN' || classRole === 'HEAD' || classRole === 'SUBJECT';
 }

-/** 成绩录入/修改/导入：仅管理员（按需求 7 的权限清单） */
-export function canManageGrades(role: UserRole): boolean {
-  return role === 'ADMIN';
+/**
+ * 成绩录入 / 修改 / 导入：管理员，或**本班班主任**。
+ *
+ * 需求 6 要求"成绩与表格导入……老师端与学生端班级账号均可用且不越权"，
+ * 而需求 7 的权限清单（班级增删改、人员分配、科任权限、班主任课表）并未把成绩收归管理员专属，
+ * 因此按"老师端可用 + 不越权"落地：班主任只能动**自己班上**的成绩，
+ * 科任老师依旧只有作业 / 叫人 / 通知权限（与需求 7 完全一致）。
+ */
+export function canManageGrades(classRole: ClassRole): boolean {
+  return classRole === 'ADMIN' || classRole === 'HEAD';
 }

 /** 可导入的数据类型 */
 export type ImportKind = 'grades' | 'students' | 'scheduleTimes';

-/** 导入权限：成绩=管理员；名单=管理员；课表时间=管理员或本班班主任 */
+/** 导入权限：成绩=管理员或本班班主任；名单=仅管理员；课表时间=管理员或本班班主任 */
 export function canImport(role: UserRole, classRole: ClassRole, kind: ImportKind): boolean {
+  if (kind === 'students') return canManageRoster(role);
  if (kind === 'scheduleTimes') return canManageSchedule(classRole);
-  return canManageGrades(role);
+  return canManageGrades(classRole);
 }

 /** 人类可读的权限矩阵（README / 设置页展示，单一事实来源） */
@@ -89,5 +97,5 @@ export const PERMISSION_MATRIX: readonly {
  { action: '布置作业', admin: true, head: true, subject: true },
  { action: '叫人', admin: true, head: true, subject: true },
  { action: '发布通知', admin: true, head: true, subject: true },
-  { action: '成绩录入 / 修改 / 导入', admin: true, head: false, subject: false },
+  { action: '成绩录入 / 修改 / 导入（仅本班）', admin: true, head: true, subject: false },
 ];
@@ -18,8 +18,9 @@ const { isMobile } = useResponsive();
 * 菜单项与可见角色（与后端 `@classhelper/shared/permissions` 矩阵保持一致）：
 * - 班级管理 / 学生管理：仅管理员（班主任与科任老师都没有班级增删改与人员分配权限）
 * - 课表管理：管理员 + 班主任（页面内再按"是否本班班主任"控制增删改按钮）
+ * - 成绩录入：管理员 + 教师；页面内只对"管理员或所选班级的班主任"显示写入/导入按钮
+ *   （需求 6：成绩与表格导入老师端可用且不越权；科任老师只能看，写入会被后端 403）
 * - 作业 / 通知：所有教师
- * - 成绩录入：仅管理员（成绩写入仅管理员；教师仍可在仪表盘查看汇总）
 */
 const menuItems = [
  { path: '/dashboard', title: '仪表盘', icon: 'Odometer', roles: ['ADMIN', 'TEACHER'] },
@@ -28,10 +29,10 @@ const menuItems = [
  { path: '/schedules', title: '课表管理', icon: 'Calendar', roles: ['ADMIN', 'TEACHER'] },
  { path: '/homeworks', title: '作业发布', icon: 'Notebook', roles: ['ADMIN', 'TEACHER'] },
  { path: '/notifications', title: '通知发布', icon: 'Bell', roles: ['ADMIN', 'TEACHER'] },
-  { path: '/grades', title: '成绩录入', icon: 'Trophy', roles: ['ADMIN'] },
+  { path: '/grades', title: '成绩录入', icon: 'Trophy', roles: ['ADMIN', 'TEACHER'] },
 ];

-/** 当前账号可见的菜单（教师看不到班级/学生/成绩录入等无权入口） */
+/** 当前账号可见的菜单（班级/学生管理仅管理员可见） */
 const visibleMenuItems = computed(() =>
  menuItems.filter((item) => (auth.role ? item.roles.includes(auth.role) : false)),
 );
@@ -20,8 +20,16 @@ import { useRealtimeStore } from '@/stores/realtime';

 const auth = useAuthStore();

-/** 成绩写入仅管理员（教师仍可查看列表与统计，符合需求 7 的权限清单） */
-const isAdmin = computed(() => auth.role === 'ADMIN');
+/**
+ * 成绩写入/导入权限：管理员，或"所选班级的班主任"（需求 6：老师端可用且不越权）。
+ * 科任老师只能查看列表与统计，写入会被后端 403（需求 7：科任仅作业/叫人/通知）。
+ */
+const canManageGrades = computed(() => {
+  if (auth.role === 'ADMIN') return true;
+  if (auth.role !== 'TEACHER') return false;
+  const current = classes.value.find((item) => item.id === filter.classId);
+  return Boolean(current && current.teacherId === auth.user?.id);
+});
 const realtime = useRealtimeStore();

 const loading = ref(false);
@@ -295,9 +303,15 @@ onUnmounted(() => {
        <el-select v-model="filter.examName" placeholder="全部考试" clearable style="width: 160px">
          <el-option v-for="item in examOptions" :key="item" :label="item" :value="item" />
        </el-select>
-        <el-button v-if="isAdmin" type="primary" :icon="'Plus'" @click="openSingle">单条录入</el-button>
-        <el-button v-if="isAdmin" type="success" :icon="'Upload'" @click="openBulk">批量录入</el-button>
-        <el-button v-if="isAdmin" type="warning" :icon="'Document'" @click="openImport">导入表格</el-button>
+        <el-button v-if="canManageGrades" type="primary" :icon="'Plus'" @click="openSingle">
+          单条录入
+        </el-button>
+        <el-button v-if="canManageGrades" type="success" :icon="'Upload'" @click="openBulk">
+          批量录入
+        </el-button>
+        <el-button v-if="canManageGrades" type="warning" :icon="'Document'" @click="openImport">
+          导入表格
+        </el-button>
      </div>
    </div>

@@ -358,7 +372,7 @@ onUnmounted(() => {
        </el-table-column>
        <el-table-column label="操作" width="90" fixed="right">
          <template #default="{ row }">
-            <el-button v-if="isAdmin" link type="danger" @click="removeGrade(row)">删除</el-button>
+            <el-button v-if="canManageGrades" link type="danger" @click="removeGrade(row)">删除</el-button>
          </template>
        </el-table-column>
      </el-table>
@@ -39,10 +39,11 @@ const MENU_ITEMS = [
  { label: '课表管理', path: '/schedules' },
  { label: '作业发布', path: '/homeworks' },
  { label: '通知发布', path: '/notifications' },
+  { label: '成绩录入', path: '/grades' },
 ];

 /** 教师端必须隐藏的入口（前端隐藏 + 后端 403，双重保障） */
-const HIDDEN_MENU_LABELS = ['班级管理', '学生管理', '成绩录入'];
+const HIDDEN_MENU_LABELS = ['班级管理', '学生管理'];

 const results = [];
 function record(name, ok, detail = '') {
@@ -355,7 +356,7 @@ async function main() {
    return { labels, leaked };
  })()`);
  record(
-    '教师端隐藏无权入口（班级管理/学生管理/成绩录入）',
+    '教师端隐藏无权入口（班级管理/学生管理）',
    (hiddenCheck?.leaked ?? ['?']).length === 0,
    `可见菜单=[${(hiddenCheck?.labels ?? []).join(',')}] 越权入口=[${(hiddenCheck?.leaked ?? []).join(',')}]`,
  );
@@ -413,6 +414,56 @@ async function main() {
  })()`);
  await sleep(300);

+  // 7.65 需求 6：班主任（teacher1）在「成绩录入」页看到导入入口，且弹窗真实可用
+  const gradesImportUi = await win.webContents.executeJavaScript(`(async () => {
+    const sleep = (ms) => new Promise((resolve) => setTimeout(resolve, ms));
+    const menu = Array.from(document.querySelectorAll('.el-menu-item')).find((node) =>
+      (node.textContent ?? '').trim().startsWith('成绩录入'),
+    );
+    if (!menu) return { ok: false, reason: '班主任看不到「成绩录入」入口（需求 6 未生效）' };
+    menu.click();
+    const deadline = Date.now() + 6000;
+    while (Date.now() < deadline && location.pathname !== '/grades') await sleep(80);
+    await sleep(900);
+
+    const importButton = Array.from(document.querySelectorAll('button')).find((node) =>
+      (node.textContent ?? '').trim() === '导入表格',
+    );
+    if (!importButton) return { ok: false, reason: '成绩页没有「导入表格」按钮（班主任应可导入本班成绩）' };
+    importButton.click();
+    await sleep(700);
+
+    const dialog = Array.from(document.querySelectorAll('.el-dialog')).find((node) =>
+      (node.querySelector('.el-dialog__title')?.textContent ?? '').includes('导入成绩表格'),
+    );
+    if (!dialog) return { ok: false, reason: '导入弹窗未打开' };
+
+    const buttons = Array.from(dialog.querySelectorAll('button')).map((node) => (node.textContent ?? '').trim());
+    return {
+      ok: true,
+      hasExcelTemplate: buttons.some((text) => text.includes('下载模板（Excel）')),
+      hasCsvTemplate: buttons.some((text) => text.includes('下载模板（CSV）')),
+      hasFileInput: Boolean(dialog.querySelector('input[type=file]')),
+      path: location.pathname,
+    };
+  })()`);
+  record(
+    '班主任可用成绩导入入口（模板下载 + 选择文件）',
+    Boolean(gradesImportUi?.ok) &&
+      gradesImportUi?.hasExcelTemplate === true &&
+      gradesImportUi?.hasCsvTemplate === true &&
+      gradesImportUi?.hasFileInput === true,
+    `path=${gradesImportUi?.path ?? '-'} Excel模板=${gradesImportUi?.hasExcelTemplate} CSV模板=${gradesImportUi?.hasCsvTemplate} 文件选择=${gradesImportUi?.hasFileInput}` +
+      `${gradesImportUi?.reason ? ` 原因=${gradesImportUi.reason}` : ''}`,
+  );
+  await win.webContents.executeJavaScript(`(() => {
+    const buttons = Array.from(document.querySelectorAll('.el-dialog__footer button'));
+    const close = buttons.find((node) => (node.textContent ?? '').trim() === '关闭');
+    if (close) close.click();
+    return true;
+  })()`);
+  await sleep(300);
+
  // 7.7 ClassIsland 时间配置导入弹窗（班主任可见：粘贴 JSON → 解析预览 → 确认导入）
  const layoutDialog = await win.webContents.executeJavaScript(`(async () => {
    const sleep = (ms) => new Promise((resolve) => setTimeout(resolve, ms));