wurenzhi
2b86715c09
- 移除未使用的TabPane组件 - 修复类型定义和导入方式 - 优化mock数据源的环境变量判断逻辑 - 更新文档结构并归档旧文件 - 添加新的UI组件和Memo组件 - 调整API路径和响应处理
1.6 KiB
1.6 KiB
PERMISSION_RULES
基础规则
- 商户只能访问自己的数据
- 所有请求必须带 merchant_id
- 超级管理员可跨商户访问
- 权限校验必须在所有接口调用前执行
- 未授权访问必须返回 403 Forbidden
功能权限
- 未开通功能 → 拒绝访问（403）
- 已开通 → 正常访问
- 功能过期 → 拒绝访问（403）
- 功能暂停 → 拒绝访问（403）
角色权限
Admin（商户管理员）
- 全部权限
- 可管理商户信息
- 可管理用户账号
- 可开通/关闭功能
- 可查看所有报表
Operator（运营专员）
- 订单处理（创建、确认、发货）
- 商品管理（添加、编辑、上下架）
- 库存管理（更新库存）
- 客户服务（处理售后）
Viewer（查看员）
- 只读权限
- 可查看订单、商品、库存信息
- 可查看报表
System（系统角色）
- 系统级操作权限
- 可执行系统维护任务
数据权限
-
商户只能查看和操作自己的：
- 订单
- 商品
- 库存
- 店铺
- 账单
- 报表
-
超级管理员可查看和操作所有商户数据
接口校验流程
Request → AuthMiddleware（身份验证） → PermissionService.check（权限校验） → FeatureService.checkAccess（功能访问校验） → Controller
权限管理
- 权限必须通过 PermissionService 进行管理
- 角色权限可通过管理界面进行配置
- 权限变更必须记录操作日志
安全措施
- 密码必须加密存储
- 敏感操作必须进行二次验证
- API 调用必须使用 token 认证
- 定期权限审计