docs: align gas and delivery requirements

docs/06-气站管理系统需求.md

@@ -2,216 +2,225 @@
 
 ## 1. 文档目的
 
-本文定义气站管理系统的业务范围、角色权限、数据边界、核心流程和规划验收标准，作为后续 `frontend/gas_admin` 及对应后端能力的规划基线。
+本文按照 `docs/05-平台总后台需求.md` 的章节、资源模式、权限和验收口径，定义气站管理系统的规划基线。
 
-当前仓库尚未实现气站管理系统，本文描述的能力不得认定为已交付，也不得为了复用页面而并入平台总后台。后续实现完成后，应以实际路由、资源契约、权限、状态机和测试反向更新本文。
+当前仓库尚未创建 `frontend/gas_admin`，也没有气站管理系统独立后端、资源契约和实际路由。本文描述的是待实现能力，不得认定为已交付，不得为了完成本文而在平台总后台中增加气站日常操作。
+
+后续实现事实按以下顺序核对并回写本文：
+
+1. 气站端实际 HTTP 路由。
+2. 气站端前后端资源契约。
+3. 气站端字段、关系、页面模式和业务动作定义。
+4. 气站端菜单、页面与隐藏子资源。
+5. 气站端状态机、事务、权限和数据范围校验。
 
 ## 2. 系统定位与边界
 
-气站管理系统是气站日常经营工作台，面向站长、站内运营、仓管、订单客服、站点调度和站点财务人员，主责本站库存、燃气配送订单、配送协同、客户服务、邀请注册和经营对账。
+气站管理系统面向站长、站内运营、仓管、订单客服、站点调度和站点财务人员，负责本站库存、燃气配送订单、配送协同、客户服务、邀请注册和经营对账。
 
-气站管理系统不承担以下主责：
+当前规划不替代以下系统：
 
-- 不创建、审核、冻结或注销平台全局用户账户。
-- 不创建服务人员全局账号，不授予安装维修、安检等安全角色，不审批实名、资质和培训结论。
-- 不创建、迁移、冻结或归档配送点组织主体，不修改平台组织主数据。
-- 不维护电商商品、分类、购物车、商城订单、评价或营销活动。
-- 不维护平台安全规则、设备控制策略或生产质量事实。
-- 不审核提现、修改钱包余额和资金流水、确认平台实际打款或调整平台分账政策。
-- 不查看其他气站及其配送点、人员、用户、订单、库存和经营数据。
-- 不直接关闭平台安全事件、解除安全关阀限制或代替现场人员补造履约证据。
+- 平台总后台：全局组织、用户与人员账号、角色资质、跨站协同、资金审核和安全规则仍由平台主责。
+- 配送点管理系统：配送点内部派员、配送仓和末端配送质控仍由配送点主责。
+- 生产管理系统：生产批次、出厂质检、设备身份和召回仍由生产系统主责。
+- 用户端与服务端 App：用户注册确认、配送员定位、现场检查、签收和取证仍由对应 App 完成。
+- 电商平台：商品、分类、购物车、商城订单、评价和营销活动不属于气站管理系统。
 
-气站需要新增配送点、关联人员、变更人员角色、扩大服务区域、迁移用户服务关系或执行跨站调拨时，只能向平台发起申请，不得在本系统直接生效。
+气站不能创建全局用户、人员或配送点主体，不能授予安全角色，不能审核提现、修改资金流水、关闭平台安全事件或解除设备控制限制。新增主体、跨站调拨、人员角色和用户关系变更只能向平台申请。
 
-## 3. 角色与权限
+独立 API 基础路径和鉴权请求头格式须在实现时通过契约确定；确定前不得沿用平台 API 路径冒充气站端接口。
 
-### 3.1 角色职责
+## 3. 技术与数据约定
 
-| 角色 | 可用能力 | 明确禁止 |
+### 3.1 实现目录
+
+| 范围 | 规划目录 | 职责 |
 | --- | --- | --- |
-| 站长 | 查看本站经营概览、审批本站普通经营调整、发起组织和跨站协同申请 | 创建平台主体、授予安全角色、跨站调度、资金终审、修改全局安全规则 |
-| 站内运营 | 维护本站预约容量、服务公告和邀请活动，处理本站燃气配送订单与客户协同 | 维护电商商品或营销活动、直接调整库存余额、查看其他气站数据 |
-| 仓管员 | 执行本站入库、出库、调拨交接、盘点、退回和损耗登记 | 修改订单金额、人员权限、质检结论、资金或安全事件 |
-| 订单客服 | 查看本站订单和必要用户信息，处理预约、售后、投诉及回访 | 编辑用户全局账户、查看完整资金流水、控制设备、修改安全判定 |
-| 站点调度 | 向已关联配送点发布任务需求，协调本站服务任务和异常 | 直接操作配送员现场状态、跨气站派单、补造签收和定位事实 |
-| 站点财务 | 查看本站订单、退款、服务费和结算单，提交对账异议与提现申请 | 审核本人申请、修改流水、调整分账比例、确认平台打款 |
+| 管理端 | `frontend/gas_admin` | Vue 3、TypeScript、Vite、Pinia、Arco Design |
+| 页面 | `frontend/gas_admin/src/views` | 首页、报表及按业务域组织的资源页面 |
+| 资源定义 | `frontend/gas_admin/src/api` | 字段、关系、页面模式和业务动作 |
+| 前端契约 | `frontend/gas_admin/src/contracts` | 后端资源与路由生成清单 |
+| 前端路由 | `frontend/gas_admin/src/router` | 菜单、受控本地路由和隐藏详情资源 |
+| 后端 API | 待技术设计确认 | 气站同步业务事务、鉴权和统一响应 |
+| 业务逻辑 | 待技术设计确认 | 本站库存、订单、邀请、协同和对账规则 |
+| 模型 | 待技术设计确认 | 气站主责事实模型与中文注释 |
+| 初始化 | 待技术设计确认 | 系统必需角色与菜单，不包含演示数据 |
 
-配送员、安装维修员和安检员不使用气站 Web 后台，其接单、定位、检查、安装、维修和取证均在服务端 App 完成，只能访问分配给本人的任务。
+以上目录均为规划归属，任务未明确要求前不得提前创建空壳工程。新管理端须复用 `sample/front` 的公共机制，新 Go 进程须遵循 `sample/server` 的分层。
 
-### 3.2 权限规则
+### 3.2 数据身份
 
-- 服务端必须同时校验角色、气站归属、资源归属、业务状态和数据范围。
-- 站长不自动拥有仓管、财务、客服和安全相关操作权限；角色可组合，但能力独立授权。
-- 库存报损、敏感导出、跨组织协同和高风险售后按阈值进入复核。
-- 精确定位、完整证据和敏感用户信息仅向履行当前职责所必需的角色开放。
-- 前端菜单隐藏和按钮禁用不构成权限控制。
+- 每一张表均使用 `id bigint` 自增主键，Go 模型对应 `ID uint64`。
+- 主表及需要单独访问、跨系统引用或审计定位的明细表使用 UUID V7 `identity`。
+- `id` 仅用于数据库内部关联；HTTP、前端、事件、审计和跨服务调用使用 `identity`。
+- 气站数据范围至少校验 `gas_basic_identity`、资源归属和订单/任务关系。
+- 通用状态与库存、订单、邀请、售后和结算等业务状态分离。
+- 删除执行归档或受控删除；订单、库存流水、支付、结算、邀请使用记录和现场事实不得物理删除。
+- 金额使用最小货币单位整数；前端不得自行决定订单最终金额、结算结果或余额。
 
-## 4. 技术与数据约定
+### 3.3 资源页面模式
 
-- 每张表包含 `id bigint` 自增主键、`created_at` 和 `updated_at`。
-- 主表及可独立访问、跨系统引用或审计定位的明细包含 UUID V7 `identity`。
-- HTTP、事件、审计和前端统一使用 `identity`，不得暴露或接受数据库内部 ID。
-- 金额使用最小货币单位整数；订单最终金额、退款和结算结果由服务端计算或读取权威事实。
-- 订单、支付、库存流水、结算、服务记录和安全协同记录不得物理删除。
-- 通用记录状态和订单、库存、售后等业务状态分离；业务状态只能通过专用动作流转。
-- 写操作携带幂等键；离线或异步数据保留原始业务时间和服务端接收时间。
-
-## 5. 规划功能域
-
-### 5.1 气站资料与经营设置
-
-气站只读展示平台维护的组织编码、主体名称、证照状态、所属区域、服务区域和组织状态。
-
-站长可维护本站营业时段、值班联系方式、预约容量、临时接单状态和服务公告。主体名称、证照、地址、服务区域、冻结和归档等组织主数据变更必须向平台提交申请。
-
-| 能力 | 规则 |
+| 模式 | 能力 |
 | --- | --- |
-| 营业设置 | 在平台允许范围内维护营业时段、预约容量和暂停接单原因 |
-| 服务能力 | 查看平台授予的配送、安装维修和安检能力，不得自行扩权 |
-| 站内账号 | 查看已关联本站的后台账号和角色；新增、冻结及角色变更走平台申请 |
-| 组织变更 | 地址、区域、主体、冻结、归档和跨站迁移均由平台审核 |
+| `writable` | 列表、详情、新增、编辑、状态调整和归档 |
+| `editable` | 列表、详情、新增、编辑和状态调整，不提供归档 |
+| `readonly` | 列表和详情；可通过显式业务动作处理，但无通用增删改 |
+| `append_only` | 可创建事实记录，既有记录不通用编辑或删除 |
+| `managed` | 可创建和编辑，但生命周期必须通过专用动作推进 |
 
-### 5.2 站内库存
+普通资源应复用共享资源页面。库存流水、订单过程、邀请使用记录、支付和结算事实使用只读或仅追加模式；业务状态不得通过通用 CRUD 直接修改。
 
-| 资源 | 能力 | 关键规则 |
-| --- | --- | --- |
-| 入库 | 接收生产交付、退回或经批准的跨站调拨 | 必须关联来源、批次、交接和质检状态 |
-| 出库 | 按订单、配送点调拨或批准的业务单据出库 | 无有效业务单据不得出库 |
-| 配送点调拨 | 向已归属本站的配送点创建调拨需求并确认交接 | 配送点接收后由配送点库存主责 |
-| 退回与损耗 | 登记拒收、货损、空瓶、维修和报废去向 | 超阈值损耗需复核，不得覆盖原流水 |
-| 盘点 | 创建盘点、记录实盘、差异和处理申请 | 库存余额不可直接编辑 |
+## 4. 登录、账户与权限
 
-库存变化必须由不可变流水驱动，并保留设备/气瓶、批次、数量、来源、去向、操作者和业务依据。
+### 4.1 登录与个人账户
 
-### 5.3 配送点协同
+- 气站后台账号由平台创建或关联，气站系统不提供自助创建管理员账号。
+- 停用、冻结、未关联本站或角色无效的账户不得登录。
+- 登录成功返回 JWT、账户 `identity`、显示名称、角色编码、气站 `identity` 和菜单编码。
+- 已登录账户只能查看和修改本人的非敏感资料；角色、气站归属和数据范围不能自行修改。
+- 修改密码必须校验当前密码，新密码不少于 6 位。
+- 气站系统不得初始化共享默认管理员密码；首次账号由平台受控创建。
 
-气站只能查看平台已归属本站的配送点及其服务能力、接单状态、容量和履约汇总。
+### 4.2 RBAC 与数据能力
 
-- 向已启用配送点发布本站配送需求和预约约束。
-- 查看配送点确认、任务分配、配送进度、异常和交接结果。
-- 暂停向存在容量、库存或质控风险的配送点继续派发本站任务，并提交处理原因。
-- 新增配送点、修改主体资料、扩大覆盖区域、冻结、归档和跨站迁移只能向平台申请。
-- 气站不能直接登录配送点后台代替调度，也不能修改配送员 App 产生的接单、定位和签收事实。
+- 站长、站内运营、仓管、订单客服、站点调度和站点财务使用独立菜单能力。
+- 站长不自动拥有财务、仓管、敏感导出或安全相关能力。
+- 仓管只能操作本站库存，不能修改订单金额、资金、安全事件和人员权限。
+- 订单客服只能访问完成本站服务所需的脱敏用户信息。
+- 站点调度只能向已归属本站的配送点发布需求，不能代替配送点分配普通配送员。
+- 站点财务只能查看本站对账和提交异议、提现申请，不能审核申请、改流水或确认打款。
+- 邀请管理权限独立授予；邀请码只能绑定当前气站和已授权服务区域。
+- 精确定位、完整证据和敏感导出使用独立权限并记录用途。
+- 前端菜单隐藏只负责展示，最终权限由服务端执行。
 
-### 5.4 人员协同
+## 5. 首页与报表
 
-| 能力 | 规则 |
-| --- | --- |
-| 人员名册 | 只显示已由平台关联本站或本站配送点的人员 |
-| 作业能力 | 查看角色、资质、培训、服务区域、在岗和可接单校验结果 |
-| 任务协调 | 只能选择已授权且满足作业前置的人员或向配送点发布需求 |
-| 绩效视图 | 查看与本站任务相关的时效、质量、投诉和异常，不展示无关个人数据 |
-| 人员变更 | 新增、角色授予、资质审批、冻结、离职和跨站调动只能发起平台申请 |
+首页规划聚合以下本站指标：
 
-气站不得自行把资质改为有效，不得授予安装维修、安检等安全角色，也不得绕过配送点直接修改人员现场任务状态。
+- 当前库存、在途调拨、待处理盘点差异和库存预警。
+- 今日燃气配送订单、待配送、配送中、待确认、异常和已完成数量。
+- 已启用配送点数量及其容量、超时和异常摘要。
+- 本站关联在岗人员数量和作业前置异常数量。
+- 待处理售后、投诉和安全协同事项。
+- 邀请二维码启用数、扫码数、注册数和服务关系建立数。
+- 当前结算周期的订单金额、配送服务费和对账差异。
+- 最近 7 个自然日的燃气配送订单数量与金额趋势；无数据日期补零。
 
-### 5.5 燃气配送订单与服务
+首页快捷入口按角色菜单过滤。报表只聚合本站真实业务事实，不展示其他气站明细，不生成虚构数据，不提供电商销售报表。
 
-- 查看和处理归属本站的燃气配送订单、配送需求、安装维修需求、预约、售后和投诉。
-- 后端依据有效合同、气瓶、库存和服务费规则读取或计算订单金额，不接受前端自行决定最终金额。
-- 订单取消、售后和异常处理遵循专用状态机，并保留原因、审批和前后状态。
-- 气站可向配送点发布履约需求，但配送点内部人员分配由配送点主责。
-- 安装、维修、安检、随瓶检查、签收和现场收款确认以服务端 App 事实为准。
-- 高风险安全问题必须上报平台安全域；气站可以协同处置，但不能改变风险等级、关闭事件或解除设备控制限制。
+## 6. 规划功能域
 
-### 5.6 客户服务视图
+规划路径必须在独立气站端契约中确认。下表的“路径”统一标记为待确认，不得直接复用平台资源路径。
 
-气站只管理与本站经营和服务相关的客户关系，不拥有用户全局账户控制权。
+### 6.1 气站经营设置
 
-- 查看本站订单所需的联系人、脱敏手机号、服务地址、预约、售后和投诉记录。
-- 查看影响本站服务的设备、安全限制和服务关系摘要。
-- 创建本站回访、客服联系记录和经授权的服务通知。
-- 服务通知必须符合用户授权和平台频控。
-- 资料错误、重复用户、关系解除和注销只能提交平台处理申请。
+| 资源 | 路径 | 模式 | 规划能力 |
+| --- | --- | --- | --- |
+| 气站资料 | 待契约确认 | `readonly` | 查看平台维护的主体、证照、地址、服务区域和组织状态 |
+| 营业设置 | 待契约确认 | `managed` | 维护营业时段、预约容量、值班联系方式和临时接单状态 |
+| 组织变更申请 | 待契约确认 | `append_only` | 提交地址、区域、主体、冻结、归档等平台审核申请 |
 
-气站不得创建或编辑用户全局账户、冻结登录、查看完整钱包和支付流水、修改其他气站服务关系或直接限制设备控制。
+气站不能直接修改平台组织主数据。服务能力只能查看平台授权结果，不能自行增加配送、安装维修或安检能力。
 
-### 5.7 邀请注册
+### 6.2 站内库存
 
-气站可在平台授权的服务区域内创建和管理本站邀请注册二维码，用于门店展示、社区服务和线下客户注册。
+| 资源 | 路径 | 模式 | 规划能力 |
+| --- | --- | --- | --- |
+| 库存余额 | 待契约确认 | `readonly` | 查询本站设备、气瓶、批次和可用/冻结/在途数量 |
+| 库存流水 | 待契约确认 | `append_only` | 记录入库、出库、退回、损耗和盘点调整依据 |
+| 调拨单 | 待契约确认 | `managed` | 向本站配送点调拨；跨站调拨提交平台审批 |
+| 盘点单 | 待契约确认 | `managed` | 创建盘点、记录实盘和差异，按阈值复核 |
 
-| 能力 | 规则 |
-| --- | --- |
-| 创建邀请 | 配置本站、服务区域、有效期、使用次数和邀请来源 |
-| 二维码操作 | 生成、预览、下载、复制注册链接、停用和重新生成 |
-| 注册处理 | 新用户完成平台统一注册；已有用户登录确认后只建立本站服务关系 |
-| 范围校验 | 地址超出本站服务区域时不得建立错误归属 |
-| 统计 | 查看扫码、注册、服务关系建立和失败原因，不展示无关用户隐私 |
+库存余额不能直接编辑。每次变化必须关联业务单据、批次、数量、来源、去向、操作者和幂等键。
 
-二维码只承载平台签名、可撤销且可过期的邀请码或短链接，不包含管理员账号、用户资料或接口密钥。重复扫码不得覆盖既有服务关系；服务关系变更必须提示影响并取得用户确认。
+### 6.3 配送点协同
 
-### 5.8 对账、结算与提现申请
+| 资源 | 路径 | 模式 | 规划能力 |
+| --- | --- | --- | --- |
+| 配送点能力 | 待契约确认 | `readonly` | 查看已归属本站配送点的状态、区域、容量和异常摘要 |
+| 配送需求 | 待契约确认 | `managed` | 向已启用配送点发布本站履约需求并跟踪确认 |
+| 配送异常 | 待契约确认 | `append_only` | 记录超时、拒收、货损、退回和协调结果 |
+| 配送点变更申请 | 待契约确认 | `append_only` | 申请新增、迁移、冻结、归档或区域调整 |
 
-- 查看本站燃气配送订单、支付、配送服务费、库存交接和平台结算快照。
-- 按结算周期核对业务事实并提交差异、凭证和处理意见。
-- 查看平台生成的结算单及异议处理状态。
-- 在满足余额、实名、风控和未决差异条件时提交本站提现申请。
+气站不能直接进入配送点后台代替调度，不能修改配送员 App 产生的接单、定位、扫码和签收事实。
 
-站点财务不得创建或修改资金流水、调整钱包余额、审核本站提现、调整分账比例或确认实际打款。
+### 6.4 人员协同
 
-### 5.9 经营报表
+| 资源 | 路径 | 模式 | 规划能力 |
+| --- | --- | --- | --- |
+| 人员名册 | 待契约确认 | `readonly` | 查看平台已关联本站或本站配送点的人员 |
+| 作业能力 | 待契约确认 | `readonly` | 查看角色、资质、培训、服务区域、在岗和可接单结果 |
+| 人员变更申请 | 待契约确认 | `append_only` | 申请新增关联、角色变更、冻结、离职和跨站调动 |
 
-气站可查看本站范围内的燃气配送订单数量与金额、库存周转、配送时效、售后、投诉、邀请转化和结算差异。
+气站不能创建人员全局账号，不能授予安全角色、修改资质结论或代替现场人员完成任务。
 
-报表不得包含其他气站明细、平台总账、无关用户隐私或完整人员收入。导出按权限和用途审计，金额口径应与订单及资金事实一致。
+### 6.5 燃气配送订单
 
-## 6. 核心流程
+| 资源 | 路径 | 模式 | 规划能力 |
+| --- | --- | --- | --- |
+| 配送订单 | 待契约确认 | `managed` | 查看本站订单并执行本站职责范围内的专用动作 |
+| 订单明细 | 待契约确认 | `readonly` | 查看合同气瓶、数量、金额和联系人快照 |
+| 订单状态记录 | 待契约确认 | `readonly` | 查询每次状态变化、操作者和原因 |
+| 配送分配摘要 | 待契约确认 | `readonly` | 查看配送点和任务分配结果，不直接改配送员 |
+| 签收与现场证据 | 待契约确认 | `readonly` | 查看 App 形成的签收、扫码、照片和收款确认 |
 
-### 6.1 订单至配送
+后端依据有效合同、气瓶、库存和服务费规则读取或计算金额。取消、异常、恢复和完成必须通过专用动作并追加状态记录。
 
-```text
-接收本站燃气配送订单 -> 校验合同、气瓶、库存和预约
--> 生成配送需求 -> 选择已归属本站的配送点
--> 配送点调度与 App 履约 -> 签收/异常 -> 库存与对账
-```
+### 6.6 客户服务
 
-- 无可用配送点、库存不足或超出服务区域时进入待协调，不得伪造已分配。
-- 气站只能查看配送进度和处理上级协同事项，不能代替配送点指定普通配送员。
-- 配送异常、拒收、货损和退回必须同步订单、库存和待对账状态。
+| 资源 | 路径 | 模式 | 规划能力 |
+| --- | --- | --- | --- |
+| 本站客户视图 | 待契约确认 | `readonly` | 查看本站服务必需的脱敏联系人、地址和服务摘要 |
+| 服务记录 | 待契约确认 | `append_only` | 记录预约、回访、通知和客户联系结果 |
+| 售后与投诉 | 待契约确认 | `managed` | 受理本站售后、投诉并按状态流转 |
+| 用户变更申请 | 待契约确认 | `append_only` | 提交资料纠错、关系解除或注销协办申请 |
 
-### 6.2 库存调拨
+气站不能创建或编辑全局用户、查看完整钱包、冻结登录、修改其他气站关系或解除设备安全限制。
 
-```text
-创建本站业务调拨单 -> 站内仓出库 -> 在途
--> 配送点核对接收 -> 差异确认 -> 双方库存流水完成
-```
+### 6.7 邀请注册
 
-跨气站调拨必须经平台审批；源站、目标站和平台确认前，不得直接改变目标库存余额。
+| 资源 | 路径 | 模式 | 规划能力 |
+| --- | --- | --- | --- |
+| 邀请二维码 | 待契约确认 | `managed` | 创建、预览、下载、启停和重新生成本站邀请 |
+| 邀请使用记录 | 待契约确认 | `readonly` | 查询扫码、注册、关系建立和失败原因 |
+| 邀请统计 | 待契约确认 | `readonly` | 聚合扫码、注册和服务关系转化 |
 
-### 6.3 售后与安全协同
+二维码只承载平台签名、可撤销且可过期的令牌或短链接。新用户完成平台统一注册；已有用户确认后只建立本站服务关系。重复扫码不得覆盖既有关系。
 
-```text
-用户诉求/履约异常 -> 气站受理 -> 判断普通售后或安全问题
--> 普通售后按订单流程处理
--> 安全问题上报平台并协同现场任务 -> 等待平台结论
-```
+### 6.8 对账与提现申请
 
-气站不能把未处理的安全问题降级为普通售后，也不能因订单完成而关闭安全事件。
+| 资源 | 路径 | 模式 | 规划能力 |
+| --- | --- | --- | --- |
+| 对账视图 | 待契约确认 | `readonly` | 查看本站订单、支付、服务费、库存交接和差异 |
+| 对账异议 | 待契约确认 | `append_only` | 提交差异、凭证和处理意见 |
+| 结算单 | 待契约确认 | `readonly` | 查看平台生成的本站结算结果 |
+| 提现申请 | 待契约确认 | `append_only` | 在校验通过后提交申请并查看处理状态 |
 
-## 7. 审计与安全
+气站不能创建资金流水、调整余额、审核提现、调整分账比例或确认实际打款。
 
-- 邀请创建与停用、订单动作、库存交接、调拨、售后、对账异议、提现申请和敏感导出必须审计。
-- 手机号、地址、证件、定位、照片、视频、合同和资金信息按最小权限脱敏或受控访问。
-- 气站数据范围至少包含 `gas_basic_identity`、资源归属和订单/任务关系校验。
-- 所有气站角色均不能修改原始支付、钱包流水、现场证据、轨迹、安全事件和设备命令事实。
-- 跨站、跨配送点、组织主数据和高风险业务操作必须记录申请人、审批人、原因、前后状态和结果。
-- 离线补传保留原始采集时间、服务端接收时间、操作者、任务、来源、完整性标记和幂等键。
+## 7. 通用页面与接口行为
 
-## 8. 未实现范围
-
-当前仓库不存在 `frontend/gas_admin` 及其独立业务实现。站内库存、配送协同、燃气配送订单、客户服务、邀请注册、站点对账和提现申请均属于规划能力。
-
-电商、全局组织管理、人员与用户账号、跨站调配、平台资金审核、全局安全规则、设备控制和生产质量不属于气站后台建设范围。
+- 列表资源提供分页、字段筛选、状态展示、详情和受数据范围约束的关联选择。
+- 关联字段提交业务 `identity`，后端解析为内部关联。
+- 账户密码不在详情和列表返回明文。
+- 响应使用统一封装；前端统一处理登录失效和稳定错误码。
+- 写操作携带幂等键；异步操作返回可查询标识。
+- 业务动作按当前状态展示，但后端仍必须拒绝非法流转。
+- 现场证据、轨迹、支付、资金流水和安全事件仅查询，不开放通用修改或删除。
+- 邀请、订单、库存、对账和敏感访问记录完整审计。
+- 路由、资源模式、菜单、权限和前端页面必须通过契约检查保持一致。
 
 ## 9. 规划验收标准
 
-1. 所有页面和接口只返回当前气站及其业务范围内的数据。
-2. 气站不能创建全局用户、人员或配送点主体，不能授予安全角色或修改资质结论。
-3. 气站邀请二维码只能在授权服务区域内生效，不能重复创建用户或覆盖既有服务关系。
-4. 库存变化由入库、出库、调拨、退回和盘点流水驱动，余额不可直接编辑。
-5. 配送点内部调度和服务端 App 履约事实不能由气站后台代填或修改。
-6. 用户账户、钱包、支付、安全事件和设备控制限制不能由气站直接修改。
-7. 气站只能提交对账异议和提现申请，不能审核提现、修改资金流水或确认打款。
-8. 跨站调拨、组织主数据、人员角色和用户关系变更必须走平台申请。
-9. 敏感字段和导出按权限控制并完整审计。
-10. 状态机、数据范围、幂等和越权场景具有服务端测试。
+1. 匿名用户只能访问登录和明确公开接口；所有业务资源要求有效认证。
+2. 账户只能访问所属气站及已分配菜单，不能猜测路径访问其他气站数据。
+3. 实际路由、资源契约、页面定义、菜单和本文资源模式一致。
+4. 所有表保留自增 `id`；对外统一使用 UUID V7 `identity`。
+5. 气站不能创建全局用户、人员或配送点主体，不能授予安全角色。
+6. 库存变化由业务流水驱动，余额不能直接编辑。
+7. 配送点内部调度和 App 现场事实不能由气站后台代填或修改。
+8. 燃气配送订单只能沿服务端状态机流转并追加过程记录。
+9. 邀请只能在本站授权区域内生效，不能重复建用户或覆盖既有服务关系。
+10. 气站只能提交对账异议和提现申请，不能修改资金或审核打款。
+11. 首页与报表来自本站真实数据，不包含电商或其他气站数据。
+12. 契约检查、权限测试、状态机测试、后端测试和前端构建全部通过。