feat: isolate households and add explicit ownership succession

README.md

@@ -53,7 +53,7 @@ python3 app.py
 mediamtx ./data/mediamtx.yml
 ```
 
-回归测试：`python3 -m unittest -v test_app test_ptz test_camera_settings test_ptz_presets` 和 `node --test test_live_player.js test_kinship.js test_calendar.js test_family_graph.js test_ui_logic.js test_recording_tools.js test_theme.js`。测试使用临时数据库和模拟播放器，不连接真实设备。
+回归测试：`python3 -m unittest -v test_app test_ptz test_camera_settings test_ptz_presets test_households` 和 `node --test test_live_player.js test_kinship.js test_calendar.js test_family_graph.js test_ui_logic.js test_recording_tools.js test_theme.js test_households_ui.js`。测试使用临时数据库和模拟播放器，不连接真实设备。
 
 访问 `http://127.0.0.1:8790/`。后端配置变量：`VISION_BIND`、`VISION_PORT`、`VISION_DATA`、`VISION_RECORDINGS`；高清转码可用 `VISION_VAAPI_DEVICE` 指定渲染设备（默认 `/dev/dri/renderD128`）。HTTPS 反向代理场景可设 `VISION_SECURE_COOKIE=1`。当前管理 API 使用管理员与个人账号分权。
 
@@ -76,10 +76,10 @@ mediamtx ./data/mediamtx.yml
 
 ## 账号与家谱（v0.1.11）
 
-- 管理员维护设备、空间、账号和权限。个人账号只可观看授权空间内的实时画面与本机回放，设备配置、网络发现和审计接口仅管理员可用。媒体播放请求逐次检查空间权限。
+- 管理员维护设备、空间、账号和权限。个人账号只可观看授权空间内的实时画面与本机回放，设备配置归属本家庭管理员；网络发现、全局存储与审计仅超级管理员可用。媒体播放请求逐次检查空间权限。
 - 每个账号具有独立用户名和密码，密码使用 scrypt 散列存储；更新密码、角色、空间范围、家谱权限或停用状态会撤销该账号会话。亲属关系不自动授予权限。
 - 管理员在“账号与关系”中设置显示名称、相对于哪个账号的称呼，以及关联的家谱人物。支持常用称呼与自定义称呼。默认新个人账号没有空间或家谱权限。
-- 家谱是本部署内的一份家庭档案，具有独立的不可访问、查看、编辑权限。一个编辑账号可录入任意数量的祖先、亲属与后辈，无需为每位人物开户。未实现跨家庭租户隔离。
+- 家谱是各家庭独立的家庭档案，具有独立的不可访问、查看、编辑权限。一个编辑账号可录入任意数量的祖先、亲属与后辈，无需为每位人物开户。v0.1.23 起按家庭隔离人物、记事、历史版本与导出。
 - 人物记录姓名/称呼、别名、性别、生卒日期、在世情况、籍贯、生平和信息来源。日期可按公历或农历录入，并自动换算；不确定日期可留空，在备注中保留原记载。
 - 亲子关系按“父母一方 → 子女”逐条连接，支持亲生、收养、继亲和未注明；配偶关系为双向。禁止自我关系、重复关系、祖先循环、直系祖先与配偶冲突。关系可以停用后恢复，人物可归档后恢复。
 - 支持关系参照人物、搜索、全家关系图、人物名册和 JSON 导出。孙辈、曾孙辈、玄孙辈等直系辈分由路径推算；旁系复杂称谓显示明确路径，缺少出生日期时不猜测兄弟姐妹的长幼。称谓用于辅助阅读，以录入关系为准。
@@ -183,3 +183,19 @@ JSON 导出升级为格式 version 2，包含人物、关系和当前账号有
 - 本版不创建新的家庭数据或修改已有账户和录像策略；新增界面及设备操作继续使用既有空间、管理与云台权限。录像机原有历史录像仍未适配，以上续播与片段工具用于小电脑本机录像。
 
 预置位协议依据：[ONVIF PTZ Service 5.4](https://www.onvif.org/specs/srv/ptz/ONVIF-PTZ-Service-Spec.pdf)。自动回归包含权限、并发、版本冲突、设备拒绝或未确认写入、停止、回放空档、日期边界和退出账号后的异步响应清理；模拟设备测试不代表所有品牌均已实机验证。
+
+
+## 家庭隔离与权限交接（v0.1.23）
+
+- **超级管理员**（`admin` 角色）：可建立家庭、切换家庭和管理全部资料；现有 `admin` 账号保持此角色。
+- **一家之主**：本家庭一位已启用的家庭管理员，由超级管理员首次指定。可管理本家庭设备、成员及其他家庭管理员，并办理家主交接。
+- **家庭管理员**：管理本家庭设备、空间、家谱与普通成员；有家主后，其他管理员账号的设置由家主或超级管理员办理。
+- **家庭成员**：仅能查看本家庭已授权空间的画面与录像；家谱、云台另行授权。新账号默认不获得设备和家谱权限。亲属称呼不授予权限。
+
+在「家庭管理」新建家庭，进入该家庭，在「账号与关系」建立家庭管理员。回到「家庭管理 → 家主与权限交接」，指定一家之主和另一位备用负责人，填写说明并保存。**备用负责人已经拥有本家庭管理权限**，家主意外无法操作时可以继续管理设备和成员；家主身份由原家主或超级管理员正式交接，原家主保留家庭管理员权限。不会依据去世日期或未登录时长自动授权。不允许停用或降级尚在任的家主、备用负责人；须先更换安排。至少保留一位启用的家庭管理员。交接使用修订号防止并发覆盖，并保留最近 50 条记录。普通成员不能读取交接说明。
+
+家庭隔离由服务器执行：账号、空间、对象、镜头、录像机、家谱人物、关系、事件与历史版本均有家庭归属。HLS 播放清单、分片、回放、下载及设备控制均逐请求核验；修改请求检查每个关联对象的家庭。普通账号伪造家庭请求头或猜测其他家庭的对象编号也不能获得资料。超级管理员具有跨家庭权限。家庭切换先清除播放器、表单和旧请求；各家庭独立计算家谱修订号。
+
+升级前用 SQLite backup API 备份数据库。首次启动把旧数据归入「赵府」家庭，保留原 ID、密码散列、设备连接和会话；家主与备用负责人须在界面明确指定，不从姓名或辈分猜测。已有 `admin` 角色均保留超级权限，请按实际职责设为家庭管理员。**建立第二个家庭后，不能直接回退到 v0.1.22 或更早版本**，旧版本不执行家庭隔离；应修复前进，或连同升级前数据库及部署版本一起恢复并确保后续数据另有备份。
+
+这是单台受信主机上的应用权限隔离。各家庭的设备仍共享媒体服务和存储容量，家庭管理员不具有操作系统权限；尚未提供按家庭磁盘配额、独立网络、硬盘加密或无人审批的自动继承。