钱要过两个人的手，才叫制度

一个真实的风险口子

如果一个人既能发起充值、又能确认充值，那么「钱花了多少」这件事，本质上是他自己说了算。

这不是人品问题，是结构问题。让钱过两个人的手，不是不信任谁，是让制度替你挡住「一个人说了算」的风险。

职责分离怎么落地

在系统里，充值发起（运营）与确认（渠道经理）是两个权限点、两个角色：

• 渠道经理没有发起权限——发不起充值
• 未确认的充值在净投入里恒为 0，确认后才计入

运营发起 → 渠道经理确认/驳回 → 计入净投入
                  ↓
          未确认 → 净投入恒为 0

权限三道关

1. 菜单：没权限的菜单项不渲染
2. 页面：直接敲 URL 硬闯，落到「无权访问」页
3. 按钮：没权限的写操作按钮不出现或置灰并写明原因

前两层是体验，真正的防线在服务端——绕过界面直接发请求，一样被拦。

边界也说清楚

8 个内置角色固定不可新增，31 个权限点按其分组勾选调整。我们不支持自定义新建角色：那种自由，往往是一堆越权漏洞的入口。