feat(platform): load authorized menus from backend

docs/06-气站管理系统需求.md

@@ -1,87 +1,217 @@
-# 气站管理系统需求
+# 气站管理系统需求（规划基线）
 
-## 1. 定位与使用者
+## 1. 文档目的
 
-供气站站长、站内运营、仓管、客服和站点调度人员使用的 Web 管理系统。系统在平台配置的组织、区域、商品和结算政策范围内运行，管理本站日常经营，并可创建和管理归属本站的配送点、服务人员和用户；不能修改全局安全阈值、跨站资金或其他站点数据。
+本文定义气站管理系统的业务范围、角色权限、数据边界、核心流程和规划验收标准，作为后续 `frontend/gas_admin` 及对应后端能力的规划基线。
 
-## 2. 功能范围
+当前仓库尚未实现气站管理系统，本文描述的能力不得认定为已交付，也不得为了复用页面而并入平台总后台。后续实现完成后，应以实际路由、资源契约、权限、状态机和测试反向更新本文。
 
-| 模块 | 功能 | 关键规则 |
+## 2. 系统定位与边界
+
+气站管理系统是气站日常经营工作台，面向站长、站内运营、仓管、订单客服、站点调度和站点财务人员，主责本站库存、燃气配送订单、配送协同、客户服务、邀请注册和经营对账。
+
+气站管理系统不承担以下主责：
+
+- 不创建、审核、冻结或注销平台全局用户账户。
+- 不创建服务人员全局账号，不授予安装维修、安检等安全角色，不审批实名、资质和培训结论。
+- 不创建、迁移、冻结或归档配送点组织主体，不修改平台组织主数据。
+- 不维护电商商品、分类、购物车、商城订单、评价或营销活动。
+- 不维护平台安全规则、设备控制策略或生产质量事实。
+- 不审核提现、修改钱包余额和资金流水、确认平台实际打款或调整平台分账政策。
+- 不查看其他气站及其配送点、人员、用户、订单、库存和经营数据。
+- 不直接关闭平台安全事件、解除安全关阀限制或代替现场人员补造履约证据。
+
+气站需要新增配送点、关联人员、变更人员角色、扩大服务区域、迁移用户服务关系或执行跨站调拨时，只能向平台发起申请，不得在本系统直接生效。
+
+## 3. 角色与权限
+
+### 3.1 角色职责
+
+| 角色 | 可用能力 | 明确禁止 |
 | --- | --- | --- |
-| 站点与人员 | 站点资料、营业时间、服务区、站内账号、服务人员归属与排班 | 账号与数据仅限本组织；跨站调配需平台审批 |
-| 配送点管理 | 创建、编辑、启停本站配送点；负责人、覆盖区域、服务能力、配送仓和配送人员 | 配送点自动归属本站；编码全局唯一；跨站迁移、删除和超范围区域须平台审批 |
-| 工作人员管理 | 创建、导入或审核 App 自主注册的配送员、安装维修员、安检员；角色、资质、培训、打卡、服务范围、接单状态与绩效 | 仅限本站人员；安全相关角色须平台/安全主管审核后可接单；不能授予超出站点授权的角色 |
-| 营销 | 满减券、折扣券、发放、核销、适用范围与统计 | 受平台营销政策和预算控制，券核销可追溯 |
-| 订单与服务 | 订单、安装/维修/安检任务、预约、异常、售后、核销 | 只处理本站订单；高风险安全事件自动同步平台总后台 |
-| 配送轨迹 | 查看本站配送订单的状态时间线、配送轨迹、预计送达、异常与签收证据 | 仅查看本站关联任务；精确位置、回放和导出遵循权限与审计规则 |
-| 用户管理 | 创建/导入线下用户、查看本站用户、地址、设备摘要、服务记录、回访、投诉协同 | 仅限本站服务区及关联订单/设备用户；敏感信息脱敏展示，访问行为审计 |
-| 邀请注册二维码 | 创建、下载、预览、分享、停用和统计气站邀请二维码 | 二维码仅表达受签名的邀请码/链接，不包含手机号、地址等个人信息；扫码成功自动建立本站服务关系 |
-| 对账结算 | 订单、支付、退款、佣金、库存、服务费对账；提现申请 | 差异项不可结算；实际打款由平台财务确认 |
+| 站长 | 查看本站经营概览、审批本站普通经营调整、发起组织和跨站协同申请 | 创建平台主体、授予安全角色、跨站调度、资金终审、修改全局安全规则 |
+| 站内运营 | 维护本站预约容量、服务公告和邀请活动，处理本站燃气配送订单与客户协同 | 维护电商商品或营销活动、直接调整库存余额、查看其他气站数据 |
+| 仓管员 | 执行本站入库、出库、调拨交接、盘点、退回和损耗登记 | 修改订单金额、人员权限、质检结论、资金或安全事件 |
+| 订单客服 | 查看本站订单和必要用户信息，处理预约、售后、投诉及回访 | 编辑用户全局账户、查看完整资金流水、控制设备、修改安全判定 |
+| 站点调度 | 向已关联配送点发布任务需求，协调本站服务任务和异常 | 直接操作配送员现场状态、跨气站派单、补造签收和定位事实 |
+| 站点财务 | 查看本站订单、退款、服务费和结算单，提交对账异议与提现申请 | 审核本人申请、修改流水、调整分账比例、确认平台打款 |
 
-## 3. 配送点管理
+配送员、安装维修员和安检员不使用气站 Web 后台，其接单、定位、检查、安装、维修和取证均在服务端 App 完成，只能访问分配给本人的任务。
 
-气站可在授权的服务区域和配送点数量上限内创建配送点，并负责本站配送点的日常资料和资源维护。创建后，配送点同时出现在配送点管理系统中，但只有本站及平台授权人员可查看和编辑。
+### 3.2 权限规则
 
-| 功能 | 需求与规则 |
+- 服务端必须同时校验角色、气站归属、资源归属、业务状态和数据范围。
+- 站长不自动拥有仓管、财务、客服和安全相关操作权限；角色可组合，但能力独立授权。
+- 库存报损、敏感导出、跨组织协同和高风险售后按阈值进入复核。
+- 精确定位、完整证据和敏感用户信息仅向履行当前职责所必需的角色开放。
+- 前端菜单隐藏和按钮禁用不构成权限控制。
+
+## 4. 技术与数据约定
+
+- 每张表包含 `id bigint` 自增主键、`created_at` 和 `updated_at`。
+- 主表及可独立访问、跨系统引用或审计定位的明细包含 UUID V7 `identity`。
+- HTTP、事件、审计和前端统一使用 `identity`，不得暴露或接受数据库内部 ID。
+- 金额使用最小货币单位整数；订单最终金额、退款和结算结果由服务端计算或读取权威事实。
+- 订单、支付、库存流水、结算、服务记录和安全协同记录不得物理删除。
+- 通用记录状态和订单、库存、售后等业务状态分离；业务状态只能通过专用动作流转。
+- 写操作携带幂等键；离线或异步数据保留原始业务时间和服务端接收时间。
+
+## 5. 规划功能域
+
+### 5.1 气站资料与经营设置
+
+气站只读展示平台维护的组织编码、主体名称、证照状态、所属区域、服务区域和组织状态。
+
+站长可维护本站营业时段、值班联系方式、预约容量、临时接单状态和服务公告。主体名称、证照、地址、服务区域、冻结和归档等组织主数据变更必须向平台提交申请。
+
+| 能力 | 规则 |
 | --- | --- |
-| 创建配送点 | 填写配送点名称、负责人、地址/坐标、营业时间、覆盖区域、配送能力、配送仓和联系方式；平台生成全局唯一配送点编号 |
-| 审核与启用 | 首个配送点、扩大服务区域、增加高风险商品配送能力等场景进入平台审核；审核通过后才可参与自动派单 |
-| 配送资源 | 配置车辆/工具、日配送上限、预约窗口、可配送商品、配送人员和库存仓；配置变更保留生效时间和历史版本 |
-| 运营管理 | 查看待配送、配送中、签收、异常、超时、配送员负载、库存和成本；可发起改派、暂停接单和恢复接单 |
-| 生命周期 | 草稿 -> 待审核 -> 启用 -> 暂停接单/冻结 -> 归档；存在在途订单、库存或未结算款项时不得归档 |
+| 营业设置 | 在平台允许范围内维护营业时段、预约容量和暂停接单原因 |
+| 服务能力 | 查看平台授予的配送、安装维修和安检能力，不得自行扩权 |
+| 站内账号 | 查看已关联本站的后台账号和角色；新增、冻结及角色变更走平台申请 |
+| 组织变更 | 地址、区域、主体、冻结、归档和跨站迁移均由平台审核 |
 
-## 4. 服务人员管理
+### 5.2 站内库存
 
-气站可为本站创建和维护服务人员，统一管理配送、安装维修和安检三类角色。人员登录服务端 App 后只看到本角色、本站和本人服务区域内的任务。
+| 资源 | 能力 | 关键规则 |
+| --- | --- | --- |
+| 入库 | 接收生产交付、退回或经批准的跨站调拨 | 必须关联来源、批次、交接和质检状态 |
+| 出库 | 按订单、配送点调拨或批准的业务单据出库 | 无有效业务单据不得出库 |
+| 配送点调拨 | 向已归属本站的配送点创建调拨需求并确认交接 | 配送点接收后由配送点库存主责 |
+| 退回与损耗 | 登记拒收、货损、空瓶、维修和报废去向 | 超阈值损耗需复核，不得覆盖原流水 |
+| 盘点 | 创建盘点、记录实盘、差异和处理申请 | 库存余额不可直接编辑 |
 
-| 功能 | 需求与规则 |
+库存变化必须由不可变流水驱动，并保留设备/气瓶、批次、数量、来源、去向、操作者和业务依据。
+
+### 5.3 配送点协同
+
+气站只能查看平台已归属本站的配送点及其服务能力、接单状态、容量和履约汇总。
+
+- 向已启用配送点发布本站配送需求和预约约束。
+- 查看配送点确认、任务分配、配送进度、异常和交接结果。
+- 暂停向存在容量、库存或质控风险的配送点继续派发本站任务，并提交处理原因。
+- 新增配送点、修改主体资料、扩大覆盖区域、冻结、归档和跨站迁移只能向平台申请。
+- 气站不能直接登录配送点后台代替调度，也不能修改配送员 App 产生的接单、定位和签收事实。
+
+### 5.4 人员协同
+
+| 能力 | 规则 |
 | --- | --- |
-| 创建、导入与自主申请 | 录入实名资料、联系方式、紧急联系人、所属配送点/站点、服务区域和入职信息；接收 App 自主注册申请并审核角色、材料与来源；手机号重复时提示关联现有人员或提交平台合并申请 |
-| 角色配置 | 可授予配送员、安装维修员、安检员角色；分别维护证书、培训、技能、保险、设备/车辆能力和到期时间 |
-| 审核与生效 | 配送角色可按平台规则自动/人工审核；安装维修、安检等安全相关角色须平台或安全主管审核通过后才能接收任务 |
-| 作业前置与调度 | 查看每日培训、上/下班、授权设备、定位权限和离线补传异常；设置班次、最大负载、预约时段和服务区域；任一作业前置不满足时不可派单或开始任务 |
-| 绩效与处置 | 查看任务、时效、评分、投诉、违规、收益和分账；可发起冻结、离职、调动申请，最终生效遵循平台审批规则 |
+| 人员名册 | 只显示已由平台关联本站或本站配送点的人员 |
+| 作业能力 | 查看角色、资质、培训、服务区域、在岗和可接单校验结果 |
+| 任务协调 | 只能选择已授权且满足作业前置的人员或向配送点发布需求 |
+| 绩效视图 | 查看与本站任务相关的时效、质量、投诉和异常，不展示无关个人数据 |
+| 人员变更 | 新增、角色授予、资质审批、冻结、离职和跨站调动只能发起平台申请 |
 
-## 5. 用户管理
+气站不得自行把资质改为有效，不得授予安装维修、安检等安全角色，也不得绕过配送点直接修改人员现场任务状态。
 
-气站管理与本站服务相关的用户，不取代用户自主注册和平台全局账户管理。气站可为线下客户建档/邀请注册，并维护服务关系、地址、设备和订单协同信息。
+### 5.5 燃气配送订单与服务
 
-| 功能 | 需求与规则 |
+- 查看和处理归属本站的燃气配送订单、配送需求、安装维修需求、预约、售后和投诉。
+- 后端依据有效合同、气瓶、库存和服务费规则读取或计算订单金额，不接受前端自行决定最终金额。
+- 订单取消、售后和异常处理遵循专用状态机，并保留原因、审批和前后状态。
+- 气站可向配送点发布履约需求，但配送点内部人员分配由配送点主责。
+- 安装、维修、安检、随瓶检查、签收和现场收款确认以服务端 App 事实为准。
+- 高风险安全问题必须上报平台安全域；气站可以协同处置，但不能改变风险等级、关闭事件或解除设备控制限制。
+
+### 5.6 客户服务视图
+
+气站只管理与本站经营和服务相关的客户关系，不拥有用户全局账户控制权。
+
+- 查看本站订单所需的联系人、脱敏手机号、服务地址、预约、售后和投诉记录。
+- 查看影响本站服务的设备、安全限制和服务关系摘要。
+- 创建本站回访、客服联系记录和经授权的服务通知。
+- 服务通知必须符合用户授权和平台频控。
+- 资料错误、重复用户、关系解除和注销只能提交平台处理申请。
+
+气站不得创建或编辑用户全局账户、冻结登录、查看完整钱包和支付流水、修改其他气站服务关系或直接限制设备控制。
+
+### 5.7 邀请注册
+
+气站可在平台授权的服务区域内创建和管理本站邀请注册二维码，用于门店展示、社区服务和线下客户注册。
+
+| 能力 | 规则 |
 | --- | --- |
-| 创建与关联 | 为线下客户创建待激活档案或发送注册邀请；填写姓名、手机号、服务地址和来源。已存在的平台用户只允许关联本站服务关系，不得重复建账号 |
-| 用户列表 | 按服务区、设备状态、订单、安检状态、投诉、活跃度和注册来源筛选本站用户；用户编号为平台全局唯一编号 |
-| 用户 360 | 查看经授权的地址、设备摘要、安全事件、安检整改、订单、预约、售后和客服记录；支付完整流水、其他站点服务数据按权限隐藏 |
-| 服务运营 | 创建预约、发起安检/维修/配送需求、回访、处理投诉、发送站点公告或营销触达；营销须遵守用户授权与平台频控策略 |
-| 账户处置 | 可发起资料纠错、重复用户合并、服务关系解除、风险标记和注销协办；冻结登录、限制设备控制、正式注销由平台按权限审批 |
+| 创建邀请 | 配置本站、服务区域、有效期、使用次数和邀请来源 |
+| 二维码操作 | 生成、预览、下载、复制注册链接、停用和重新生成 |
+| 注册处理 | 新用户完成平台统一注册；已有用户登录确认后只建立本站服务关系 |
+| 范围校验 | 地址超出本站服务区域时不得建立错误归属 |
+| 统计 | 查看扫码、注册、服务关系建立和失败原因，不展示无关用户隐私 |
 
-### 5.1 气站邀请注册二维码
+二维码只承载平台签名、可撤销且可过期的邀请码或短链接，不包含管理员账号、用户资料或接口密钥。重复扫码不得覆盖既有服务关系；服务关系变更必须提示影响并取得用户确认。
 
-气站可为线下推广、门店展示、业务员推广或特定服务区域创建邀请注册二维码。用户使用用户端 App 或手机浏览器扫码后，进入注册/登录和服务地址确认流程；完成后自动建立用户与该气站的服务关系。
+### 5.8 对账、结算与提现申请
 
-| 配置项 | 说明 |
-| --- | --- |
-| 邀请类型 | 通用站点码、活动码、业务员专属码、服务区域码；专属码可用于归因和绩效统计 |
-| 有效范围 | 关联气站、可选服务区域、可选商品/活动、最大使用次数、有效期和适用注册来源 |
-| 二维码操作 | 生成、预览、下载 PNG/SVG、复制注册链接、停用、重新生成和查看扫码/注册/转化统计 |
-| 扫码结果 | 新用户注册后建档；已有平台用户登录确认后建立服务关系；服务地址不在范围内时提示并不得错误归属 |
-| 使用状态 | 草稿 -> 启用 -> 已过期/已用尽/已停用；已停用二维码不可注册，历史归因数据保留 |
+- 查看本站燃气配送订单、支付、配送服务费、库存交接和平台结算快照。
+- 按结算周期核对业务事实并提交差异、凭证和处理意见。
+- 查看平台生成的结算单及异议处理状态。
+- 在满足余额、实名、风控和未决差异条件时提交本站提现申请。
 
-二维码由平台生成带签名的短期或可撤销邀请令牌，不能把气站管理员账号、用户资料或可直接调用接口的固定密钥编码到二维码中。用户注册、服务关系建立和归因均需记录二维码 ID、来源、时间和结果。
+站点财务不得创建或修改资金流水、调整钱包余额、审核本站提现、调整分账比例或确认实际打款。
 
-## 6. 站点与配送点协作
+### 5.9 经营报表
 
-- 站点创建或确认需配送的任务，向配送点发布履约需求；配送点确认人员和配送计划后回传状态。
-- 商品从站点仓转至配送点仓时，创建调拨单、出入库和签收记录；在途库存独立核算。
-- 配送异常、货损、拒收、退货回流均必须同步订单、库存和资金待处理状态。
-- 站点可查看本站任务的配送轨迹质量、随瓶安检、气瓶扫码/蓝牙识别、收款确认、空瓶回收与异常对账状态；现场原始证据只能由服务端 App 提交，后台不得补录为已完成。
+气站可查看本站范围内的燃气配送订单数量与金额、库存周转、配送时效、售后、投诉、邀请转化和结算差异。
 
-## 7. 数据边界、审核与审计
+报表不得包含其他气站明细、平台总账、无关用户隐私或完整人员收入。导出按权限和用途审计，金额口径应与订单及资金事实一致。
 
-- 气站只能创建和管理归属本站、处于本站服务区内的配送点、服务人员和用户服务关系；平台总后台保留全局查看、审核、冻结、跨组织调配和主数据纠错权。
-- 配送点、人员、用户均使用平台全局唯一编号。气站删除操作采用归档/停用，不得物理删除历史订单、设备、安全事件、库存或资金记录。
-- 新建主体、资料修改、角色授予、用户关联、派单、改派、冻结/解冻、导入/导出均记录操作人、站点、前后值、原因、时间和关联对象；敏感字段显示和导出受权限控制。
-- 跨站点调拨库存、转移配送点、调动服务人员、迁移用户服务关系，须由源站、目标站和平台按流程确认，并校验未完成任务、在途库存、安全事件与结算状态。
+## 6. 核心流程
 
-## 8. 扩展能力
+### 6.1 订单至配送
 
-- 客户分群、区域促销、订阅式巡检、门店自提、站点经营报表、库存采购与供应商协同。
+```text
+接收本站燃气配送订单 -> 校验合同、气瓶、库存和预约
+-> 生成配送需求 -> 选择已归属本站的配送点
+-> 配送点调度与 App 履约 -> 签收/异常 -> 库存与对账
+```
+
+- 无可用配送点、库存不足或超出服务区域时进入待协调，不得伪造已分配。
+- 气站只能查看配送进度和处理上级协同事项，不能代替配送点指定普通配送员。
+- 配送异常、拒收、货损和退回必须同步订单、库存和待对账状态。
+
+### 6.2 库存调拨
+
+```text
+创建本站业务调拨单 -> 站内仓出库 -> 在途
+-> 配送点核对接收 -> 差异确认 -> 双方库存流水完成
+```
+
+跨气站调拨必须经平台审批；源站、目标站和平台确认前，不得直接改变目标库存余额。
+
+### 6.3 售后与安全协同
+
+```text
+用户诉求/履约异常 -> 气站受理 -> 判断普通售后或安全问题
+-> 普通售后按订单流程处理
+-> 安全问题上报平台并协同现场任务 -> 等待平台结论
+```
+
+气站不能把未处理的安全问题降级为普通售后，也不能因订单完成而关闭安全事件。
+
+## 7. 审计与安全
+
+- 邀请创建与停用、订单动作、库存交接、调拨、售后、对账异议、提现申请和敏感导出必须审计。
+- 手机号、地址、证件、定位、照片、视频、合同和资金信息按最小权限脱敏或受控访问。
+- 气站数据范围至少包含 `gas_basic_identity`、资源归属和订单/任务关系校验。
+- 所有气站角色均不能修改原始支付、钱包流水、现场证据、轨迹、安全事件和设备命令事实。
+- 跨站、跨配送点、组织主数据和高风险业务操作必须记录申请人、审批人、原因、前后状态和结果。
+- 离线补传保留原始采集时间、服务端接收时间、操作者、任务、来源、完整性标记和幂等键。
+
+## 8. 未实现范围
+
+当前仓库不存在 `frontend/gas_admin` 及其独立业务实现。站内库存、配送协同、燃气配送订单、客户服务、邀请注册、站点对账和提现申请均属于规划能力。
+
+电商、全局组织管理、人员与用户账号、跨站调配、平台资金审核、全局安全规则、设备控制和生产质量不属于气站后台建设范围。
+
+## 9. 规划验收标准
+
+1. 所有页面和接口只返回当前气站及其业务范围内的数据。
+2. 气站不能创建全局用户、人员或配送点主体，不能授予安全角色或修改资质结论。
+3. 气站邀请二维码只能在授权服务区域内生效，不能重复创建用户或覆盖既有服务关系。
+4. 库存变化由入库、出库、调拨、退回和盘点流水驱动，余额不可直接编辑。
+5. 配送点内部调度和服务端 App 履约事实不能由气站后台代填或修改。
+6. 用户账户、钱包、支付、安全事件和设备控制限制不能由气站直接修改。
+7. 气站只能提交对账异议和提现申请，不能审核提现、修改资金流水或确认打款。
+8. 跨站调拨、组织主数据、人员角色和用户关系变更必须走平台申请。
+9. 敏感字段和导出按权限控制并完整审计。
+10. 状态机、数据范围、幂等和越权场景具有服务端测试。