8 个内置角色，各一句定位
角色数量固定，换来的是权限模型简单、可审计、可回归。
系统管理员
系统最高权限，能配权限、能看凭据。但整行锁定，改不动那四条护栏。
- 可见全部模块与审计日志
- 可操作勾选角色权限点、查看凭据明文（需二次校验）
- 不可见无法取消四条硬护栏
运营经理
管运营条线的资产与消耗登记，碰得到业务，碰不到钱的确权，也看不到凭据明文。
- 可见本组及以下的资产与消耗
- 可操作指派、批量登记、报停报死
- 不可见凭据明文、充值确认
运营
负责日常登记与上报，能把户报死；但建不了项目、删不了资产，钱也不由他确认。
- 可见指派给自己的资产
- 可操作消耗登记、状态变更（报死 / 报停）
- 不可见未指派的资产、删除类操作
销售经理
看团队范围的经营与成效数据，做销售侧的排班与复盘，不参与财务确权。
- 可见本组范围内的经营与成效
- 可操作成交登记与回访安排
- 不可见凭据明文、充值确认
销售
只看自己名下的数据，登记任务范围内的成交信息——权限最小，可见面最窄。
- 可见仅本人名下数据
- 可操作自己名下的成交登记
- 不可见团队数据、财务口径
渠道经理
管渠道政策与充值确认，是钱进门后的第一道把关人；但他发不起充值。
- 可见渠道政策版本与充值单
- 可操作政策维护、充值确认 / 驳回
- 不可见发起充值（无此权限点）
资产经理
管资产台账与指派，也是全系统唯二能看凭据明文的角色之一。
- 可见全部资产台账、凭据明文（需二次校验）
- 可操作资产增删改、指派
- 不可见充值确认与财务确权
财务经理
看成本与利润，但只有同时满足「利润查看权限」且「数据范围＝全部」才看得到合计；口径不可被随手改。
- 可见成本、净投入、粉本与利润（满足双重条件时看合计）
- 可操作口径查看与导出对账
- 不可见未获「利润查看」或数据范围非全部时的利润合计
31 个权限点，按 4 组拆分
管理员在配置页上直接勾选调整，保存后下一个请求就生效。
| 权限组 | 点数 | 权限点 |
|---|---|---|
| 资产台账 | 17 | 项目查看 · 项目编辑 · 项目指派 · BM 查看 · BM 编辑 · 广告户查看 · 广告户编辑 · 个号查看 · 个号编辑 · 资产状态变更 · 户商查看 · 户商编辑 · 渠道政策查看 · 渠道政策编辑 · 资产指派 · 资产删除 · 绑定关系编辑 |
| 消费与财务 | 6 | 消耗登记 · 消耗批量导入 · 充值发起 · 充值确认 · 成本与利润查看 · 清零登记 |
| 数据交付 | 3 | 导出中心 · 报表查看 · 对账交付 |
| 系统 | 5 | 角色权限管理 · 用户审核 · 审计日志查看 · 基础配置 · 凭据查看 |
-
资产台账
点数 17权限点 项目查看 · 项目编辑 · 项目指派 · BM 查看 · BM 编辑 · 广告户查看 · 广告户编辑 · 个号查看 · 个号编辑 · 资产状态变更 · 户商查看 · 户商编辑 · 渠道政策查看 · 渠道政策编辑 · 资产指派 · 资产删除 · 绑定关系编辑 -
消费与财务
点数 6权限点 消耗登记 · 消耗批量导入 · 充值发起 · 充值确认 · 成本与利润查看 · 清零登记 -
数据交付
点数 3权限点 导出中心 · 报表查看 · 对账交付 -
系统
点数 5权限点 角色权限管理 · 用户审核 · 审计日志查看 · 基础配置 · 凭据查看
合计 31 个权限点。在线用户不用重新登录，服务不用重启；另有「立即生效（下线该角色全部在线用户）」选项可选。
谁在什么时候、把哪个角色的哪些权限点从什么改成了什么，逐条记录在案；被拒绝的越权操作同样留痕。
这是能点、能改的配置页，不是只读展示
左侧角色、右侧权限组勾选矩阵；已勾选＝品牌蓝实心勾，未勾选＝浅灰空框。
| 角色 | 资产台账（17） | 消费与财务（6） | 数据交付（3） | 系统（5） |
|---|---|---|---|---|
| 系统管理员 | ||||
| 运营经理 | ||||
| 运营 | ||||
| 销售经理 | ||||
| 销售 | ||||
| 渠道经理 | ||||
| 资产经理 | ||||
| 财务经理 |
-
系统管理员
资产台账消费与财务数据交付系统 -
运营经理
资产台账消费与财务数据交付系统 -
运营
资产台账消费与财务数据交付系统 -
销售经理
资产台账消费与财务数据交付系统 -
销售
资产台账消费与财务数据交付系统 -
渠道经理
资产台账消费与财务数据交付系统 -
资产经理
资产台账消费与财务数据交付系统 -
财务经理
资产台账消费与财务数据交付系统
演示性质：勾选状态只在当前页面生效，不做真实保存，也不会写入任何服务端配置。
权限能配，不等于能乱配
- 超管角色整行锁定，改不动。
- 非超管不能新授「角色权限管理」。
- 最后一个持「角色权限管理」权限的人受保护。
- 系统必需权限点不可取消。
这四条护栏写在服务端，不是把前端按钮置灰糊弄人。绕过界面直接发请求，一样被拦。
权限不是一个开关，是三道关
第一层 · 菜单
没有权限的菜单项，根本不渲染出来。你看不到，就点不到。
第二层 · 页面
直接敲 URL 硬闯，落到的是专属的「无权访问」页面，可以返回总览或重新登录，不是一堆报错代码；未登录访问，直接跳登录页。
第三层 · 按钮
没权限的写操作按钮不出现；只有页面权限、没有操作权限时，区块保留但置灰，并明确写出原因。
前两层是体验，第三层也是体验，真正的防线在服务端。
连密文都不返回
敏感字段（个号口令、个号密钥）经 AES-256-GCM 加密后落库，密文和随机 IV 分两列存储。列表页和详情页连密文都拿不到，前端只拿到一个「是否已设置」的布尔标记。
- ① 持有独立的「凭据查看」权限点——只有资产经理和系统管理员有。
- ② 重输一遍自己的登录密码做二次校验。
- ③ 全程留痕：谁在什么时候看过什么。
明文永远不写进日志；越权的尝试，也留痕。
加密密钥（AES_KEY）格式不合法时，服务直接拒绝启动，不做任何降级。
钱要过两个人的手
项目「指派」也是独立权限点，跟「编辑项目」分开。
能新建、能编辑的人，天然可以改状态；但只能改状态的人，建不了也删不了。
让钱过两个人的手，不是不信任谁，是让制度替你挡住“一个人说了算”的风险。
看不见，是因为根本查不出来
「本组」按系统内的用户分组生效，不是按渠道或客户；过滤下推到数据库查询里执行——不是把全部数据查出来再在程序里筛掉，而是根本查不出来。
这一条，可以现场演示。
谁在管，谁才看得见
资产经理指派个号 / BM 给运营后，该运营才在自己的列表、统计和详情里看得到；没指派，就看不到。指派动作本身也写进审计。
固定角色，可调权限
系统只允许调整这 8 个内置角色的权限点，不支持自定义新建角色。这是明确的取舍：角色数量固定，换来的是权限模型简单、可审计、可回归。我们不假装能给你一套“想要什么角色就建什么角色”的无限自定义——那种自由，往往是一堆越权漏洞的入口。