功能权限
控制菜单、按钮与操作入口的可见与可用，如能否新增销售单、能否删除单据行。
Module 11 / 系统管理
机构、角色、权限、日志，四把锁
一套系统用得好不好，一半看业务功能，一半看管控能不能落地： 谁能看哪个门店的数据、谁能改价格、谁批的单、谁来改的、什么时候改的。 这四把锁管住了，单据上的每一个数字就都能找到责任人。
机构管理
角色管理
员工管理
参数设置
系统日志
访问设置
密码修改
5级
组织层级
集团 · 区域 · 门店 · 部门 · 岗位
4类
权限维度
功能 · 数据 · 字段与价格 · 审批
Functions / 系统功能
七项管控入口
前面十个模块的业务功能，最终都收敛到这七项系统配置上。
- 机构管理定义集团、区域、门店与部门的层级关系，作为数据归属与数据权限的根节点
- 角色管理按岗位抽象权限集合，权限授予角色而非个人，人员变动无需逐个重配
- 员工管理维护员工账号、所属机构、所属角色与在职状态，支持跨店任职
- 参数设置集中配置业务运行开关与默认值，如单据审批流程、提醒提前天数与结算规则
- 密码修改员工自助修改登录密码，配合密码策略执行强制定期更换与复杂度校验
- 系统日志记录登录、操作与单据变更全过程，支持按人、按时间、按单据检索
- 访问设置配置允许访问的 IP 范围、会话超时与并发策略，控制可登录的环境
Organization / 组织层级
从集团到岗位，五级展开
组织机构决定了「谁的数据属于谁」，也决定了汇总时从哪一层往上归并。
- LEVEL 01集团：最高层级，掌握全部机构的字典下发、权限模板与全域经营数据。
- LEVEL 02区域：按地域或业务板块划分，便于分片区考核与跨店调拨管理。
- LEVEL 03门店：业务单据的实际发生单位，库存、工位与员工都归属到门店。
- LEVEL 04部门：门店内部按销售、售后、配件、财务、客服等职能划分。
- LEVEL 05岗位：最小管理单元，与角色对应，业务归属与业绩归属落到这一层。
岗位变动不影响历史归属：员工调岗或离职后，其历史上经手的销售单、维修工单与收款单保留原岗位与原机构归属，业绩与提成结算按发生时点的归属计算；新单据从变更后开始按新岗位生效，历史报表因此不会因为一次人事调整而变动。
Permission / 权限模型
四类权限，分开授予
「能打开这个菜单」和「能看到这家店的数据」是两件事；「能看到价格」和「能改价格」又是两件事。
数据权限
按机构层级限定可见范围：门店员工只看本店，区域经理看辖区，集团看全域。
字段与价格权限
控制成本价、进价与毛利字段的可见性，并区分查看价格与修改价格的权限。
审批权限
按金额阈值与单据类型设定审批路径，如折扣超限、退款请求与月结处理需上级或财务审批。审批权限与功能权限解耦：同一个人可以提交单据但不能审批自己的单据。
- 权限授予角色而非个人：先把权限配给「服务顾问」「配件主管」这类角色，再把员工挂到角色上，新增员工只需选角色。
- 最小够用原则：默认关闭成本与毛利字段，只有确需知道的人才打开，减少价格信息扩散。
- 定期复核：季度性检查离职与调岗员工的账号状态，停用比删除更安全，保留其历史操作记录。
Audit / 日志与追溯
单据改过什么，一查就知道
业务单据不是写完就结束，反审、作废、修改、红冲都是常态，关键在于每一步都留痕。
操作发生
登录、查询、新增、修改、审批等动作按操作人、时间、终端记录到系统日志。
单据留痕
单据保存修改前后内容差异，谁在什么时候把哪一项从什么改成了什么可完整回放。
逆操作记录
反审、作废、退单等逆操作同样生成记录，不留空白，不出现只留结果的哑操作。
检索核查
支持按员工、时间区间、单据类型与关键字检索，问题单据定位到具体一次操作。
证据留存
日志作为内控与外部审计依据，配合系统参数设置保留周期，超期按规则归档。
典型场景：月末发现某张维修工单结算金额异常，通过日志可以看到开单人、改价人、审批人与收款人的完整操作链，再回到统计分析 M9 核对当月这张单据是否已被计入产值，形成闭环。
Security / 安全设置
三道访问控制闸门
账号安全不是一个开关，而是密码、网络与会话三层叠加的结果。任何一层缺失都会削弱另外两层。
| 控制项 | 可配置项 | 建议做法 | 失败后果 |
|---|---|---|---|
| 密码策略 | 长度、复杂度、有效期、错误次数锁定 | 到期强制修改，长期未登录账号自动停用 | 弱口令横向扩散，离职账号仍可登录 |
| 访问 IP | 允许登录的 IP 地址或地址段 | 财务与集团岗位限定内网或固定出口 | 任意网络环境可尝试登录后台 |
| 会话控制 | 超时时长、单账号并发数、强制下线 | 共享工位设置较短超时并限制并发 | 下班未退出的终端被他人继续使用 |
落地建议：把安全策略与岗位绑定而非与个人绑定，例如「前台工位」统一短超时、「财务岗位」统一 IP 白名单，这样员工调动时不需要重新逐条配置，也避免遗漏。服务与支持团队在交付时会协助完成首次策略配置与管理员交接。