[17.0-rc][疑似平台] script action 的 body 写库被 FORBIDDEN（admin 用户）

[yinlianghui]

现象

17.0.0-rc.0 下，对象级 script action（如工单的 close_case）：确认框、参数弹窗均正常，执行时报
FORBIDDEN: insufficient privileges to update crm_case <id> —— 使用的是内置 admin 账号。

复现

1. 工单详情 → 关闭工单 → 填写解决方案 → 确认
2. UI 弹红色错误；服务端日志：
   • 审计行声称 body executes TRUSTED (context-less engine, RLS/FLS-bypassing)
   • 紧接着 [BodyRunner] sandboxed action threw ... FORBIDDEN: insufficient privileges

审计声明（TRUSTED、免 RLS/FLS）与实际行为（权限层全拒）自相矛盾，疑似 context-less 引擎没有用户身份导致权限检查一律拒绝。16.1 已有类似「sandbox 写库被 sharing 拦截」的怪癖，RC 未修复。

影响

所有带写库 body 的对象级 action（close_case / escalate_case / send_email / mass_update_stage / create_campaign 等）。升级阻断。

详见分支 upgrade/objectstack-17 的 docs/upgrade-17/test-report.md §3 P2。

[yinlianghui]

源码确认：CONFIRMED，平台 bug。action body 的 ctx.api 回退到无 ExecutionContext/无 isSystem 的 facade（body-runner.ts:161-184），plugin-sharing 的 canEdit 在 !context.userId 直接拒（sharing-service.ts:255）；hook body 却有 isSystem:true 兜底（engine.ts:978-981）。审计行描述的是 ctx.engine 不是 ctx.api。注意：public sharing / 无 owner 字段的对象会碰巧放行，掩盖问题。已上报平台：objectstack-ai/objectstack#3914

[yinlianghui]

📎 分支 upgrade/objectstack-17 已推送至上游（仅分支，无 PR，勿合并——阻塞于 17.0 正式版与 objectstack#3912/#3913/#3914）。正文引用的文档现在可直接访问：测试报告 ｜ 测试计划