diff --git a/docs/audit-checklist.md b/docs/audit-checklist.md
index a384cd1..a521076 100644
--- a/docs/audit-checklist.md
+++ b/docs/audit-checklist.md
@@ -26,8 +26,8 @@
 
 ## P1 RBAC 闭环
 
-- [ ] **H7** 用户-角色分配缺失 —— 无端点/DTO/UI。方案：加分配端点 + DTO + 前端 UI（最高优先）
-- [ ] **H9** 按钮级权限未实现 —— 无下发接口/指令，导出按钮不存在。方案：权限码下发 + `v-permission` + 补导出
+- [x] **H7** 用户-角色分配缺失 —— 无端点/DTO/UI。✔ 已完成：`GET/PUT /users/:id/roles` + DTO + 前端分配角色表单 + 用户页入口
+- [x] **H9** 按钮级权限未实现 —— 无下发接口/指令，导出按钮不存在。✔ 核心已完成：`/auth/permissions` 下发 + permission store + `v-permission` 指令 + ty-crud 权限过滤 + 用户页导出演示（role/audit/login-log 3 个导出按钮为同模式，待补）
 - [ ] **M18** 前端无路由级权限过滤 + 403 页 —— 方案：路由守卫按权限码过滤 + 403 兜底页
 - [ ] **M21** 数据权限覆盖面过窄 —— 仅用户列表。方案：扩展至角色/组织/日志等域
 - [ ] **H8** 注册/忘记密码是假功能 —— mock 假成功。方案：补真实后端闭环
diff --git a/sources/sysmgr-admin b/sources/sysmgr-admin
index 7ae2205..2f7f83b 160000
--- a/sources/sysmgr-admin
+++ b/sources/sysmgr-admin
@@ -1 +1 @@
-Subproject commit 7ae220581a3c60c3bb71e2872a721333cbd75288
+Subproject commit 2f7f83b8b122219dd4549380fb7811baf1ce071c
diff --git a/sources/sysmgr-nest b/sources/sysmgr-nest
index 513688a..78e537f 160000
--- a/sources/sysmgr-nest
+++ b/sources/sysmgr-nest
@@ -1 +1 @@
-Subproject commit 513688a5e6e0387bb00a464d1ec7bdd7e2f6c594
+Subproject commit 78e537fa7307d650be27f2f27b8ecf409663ae54