本文件记录已经确认的身份权限。系统使用显式权限矩阵，不依据身份名称进行等级继承；每个账户同一时刻只能拥有一种身份，职责范围、临时代管和权限暂停不通过叠加身份实现。
允许：
- 查看在用货物、汇总库存、货位和库存状态。
- 为已批准的货物提交逐笔入库、取出或库内移位申请，录入合法数量、相关价格或来源与目标货位，并附上图片、PDF 或 Word 格式的业务单据。
- 作为发出仓内负责该 SKU 的员工提交跨仓调拨申请。
- 通过入库申请提出全新货物品种；申请获管理员或经理批准前不增加库存。
- 按获批内容执行入库、取出或库内移位。
- 在发出与接收两侧审批均完成后，按自己绑定仓库的职责执行跨仓分批发运或收货，并分别提交发运或收货业务单据。
- 查看自己的申请和操作记录。
- 在最终审批前撤回自己的申请；获批后可对尚未执行的全部或部分余量提交取消申请。
- 修改被拒绝的单次入库申请并提出复核；复核仍按正常流程提交给对应管理员，满一小时无最终决定时经理也可审批。
- 同一原始申请最多提出三次复核；三次复核连续被拒绝后，不能再次提出复核。
禁止：
- 批准任何库存操作申请。
- 修改历史库存流水。
- 查看完整账册或利润。
- 管理用户、身份或权限。
- 修改系统配置。
范围与协作规则：
- 每名员工绑定一个具体仓库，只能操作该仓库内分配给自己的货物，但可以查看该仓库中其上级管理员负责品类内、符合仓库员工可见字段范围的全部货物。
- 两名员工在同一仓库范围内组成搭档并共同负责品类中的一部分货物；任一员工操作其负责货物时，搭档会在下次进入系统时收到弹窗提醒。
- 上级管理员权限暂停期间，员工的库存操作申请自动提交给经理。
- 复核无论通过或拒绝，原始申请的审批员都会收到弹窗提醒。
- 获批入库、取出或库内移位申请默认须在 24 小时内执行；到期前 2 小时，申请人、负责执行的员工及其搭档都会收到弹窗提醒，到期后必须重新申请。
允许：
- 仅查看和操作自己负责品类与仓库子树交集内的库存、申请、相关价格、业务单据及其有权查看的数据。
- 批准或拒绝职责范围内的入库、取出、库内移位、全新货物及获批申请剩余量取消申请。
- 作为发出仓负责人批准跨仓调拨数量与来源预留，或作为接收仓负责人批准接收并指定目标叶级货位；两侧审批必须由不同人员完成。
- 需要跨仓调拨时向负责该 SKU 的发出仓员工发送与后续申请关联的留痕通知，但不能代替员工成为申请人。
- 对职责范围内的调拨差异提交本侧说明、证据及建议处理方式，但不能直接调整差异数量或价值。
- 优先审批职责范围内的代理商销售取出申请。
- 发起并执行职责范围内的入库、取出或库内移位，录入数量、相关价格或来源与目标货位；默认不等待逐笔审批即可生效。
- 管理员默认后审操作仍建立完整申请、执行、库存流水和会计事实，但不生成“自己批准自己”的审批决定；处于强制预审期时必须由经理审批后才可执行。
- 将自己经办的业务单据按季度统一提交，不要求每笔操作单独提交。
- 创建和停用下辖的仓库员工账户。
- 在自己的品类与仓库子树职责范围内覆盖补货宽限期等配置；经理维护全局默认值，范围覆盖不需要经理批准，但必须进入审计并在经理下次进入系统时弹窗提醒。
- 恢复职责范围内已归档的货物品种。
- 查看职责范围内的系统安全与管理审计记录。
禁止：
- 直接修改库存余额、历史流水或账册。
- 默认查看完整账册、利润及会计报表。
- 绕过库存操作申请和流水记录直接改变库存。
- 查看或操作自己负责品类以外的货物。
- 审批自己提交的申请。
- 直接提交跨仓调拨申请，或绕过两侧审批直接发运。
季度单据规则：
- 管理员应在季度结束前补齐该季度经办业务所需的全部单据。
- 管理员后补单只豁免操作发生时立即提供附件；上传文件仍须通过格式验证和恶意软件扫描后才算补齐，不安全、扫描异常或仍处于隔离状态的文件不能满足补单要求。
- 季度末仍未补齐时，系统向经理和监察员发出警告，并暂停该管理员权限，直至经理发起恢复且监察员批准。
- 管理员恢复由经理发起并须经监察员批准，不能由经理单方恢复。
- 监察员按
Asia/Shanghai自然季度执行风险加权抽样：缺单、逾期和已有异常记录全部必选，再加入人民币绝对金额最高 5% 的记录，并用永久保存的种子随机补足到当季记录的 10%；常规样本至少 10 条、最多 100 条，不足 10 条全部检查，风险必选项不受上限。任一异常触发该管理员当季全部记录检查。 - 经理可以设定强制预审期；期间管理员提交的每笔库存操作必须经经理审查后才能生效。
权限暂停规则：
- 抽样发现异常或季度单据逾期时，暂停管理员的审批、库存操作、员工管理、配置修改和货物恢复权限。
- 被暂停的管理员仍可登录、只读查看职责范围内数据、补交单据并回应调查。
- 暂停期间，其下属仓库员工提交的申请一律转交经理处理。
- 经理可在监察员同意后，将指定货物范围限时交由另一名管理员代管；代管只授予处理该范围所需的查看与审批权限，不改变永久品类归属。
- 未纳入临时代管范围的申请继续由经理处理。
- 经理在问题处理完成后发起恢复，监察员批准后恢复管理员权限。
组织范围：
- 每名管理员负责恰好一个品类与一个仓库子树的交集，并管理该范围内的若干仓库员工；同一品类的有效管理员仓库子树不得重叠。
- 初始部署时所有管理员绑定唯一根仓库；首版新增仓库并完成组织分配后，同一品类即可由多名管理员分别负责互不重叠的仓库子树。
- 经理领导所有管理员，并具有覆盖全部品类和全部仓库的职责范围。
允许：
- 查看所有品类、所有仓库的库存、申请、价格、业务单据、审计记录、完整账册和利润报表。
- 在仓库员工申请提交满一小时、仍未被对应管理员批准或拒绝时审批该申请；查看、打开或标记处理中不阻止经理接管，以数据库首先成功提交的最终决定为准。
- 按相同的一小时超时接管规则审批获批申请的剩余量取消申请；对应管理员暂停时直接处理。
- 按同一超时规则审批员工提出的复核申请。
- 在代理商销售取出申请提交满一小时仍无管理员最终决定时审批；对应管理员暂停时申请直接转交经理。
- 同一管理员同时覆盖跨仓调拨两端时，作为接收侧第二审批人完成独立审批。
- 审批强制预审期内的管理员申请。
- 设置或结束管理员的强制预审期。
- 发起恢复被暂停管理员权限的请求；恢复必须获得监察员批准。
- 在监察员同意后建立、调整或结束限定范围与期限的临时代管。
- 创建、停用管理员并分配其负责品类；系统提醒监察员，监察员可以回退该项管理变更。
- 依据 PDF 或 Word 格式的代理合同增加或取消代理商身份并将合同留档；系统提醒监察员。
- 创建、调整或停用仓库组织节点及仓内位置层级；货位编码不可修改，存在库存、有效预留或待执行移入时不得停用，所有变更提醒监察员。
- 调整全局业务配置；所有变更进入审计记录并提醒监察员。
- 查看并处理所有管理员和员工的警告及升级事项。
- 在双边证据齐备后批准调拨差异的业务处理；确认损坏或丢失并改变库存价值时，还须等待对应会计组三人中至少两人同意，并提醒监察员。
禁止：
- 直接修改库存余额、历史流水或账册。
- 单方面绕过监察员同意建立、调整或结束临时代管。
- 删除或隐藏审计记录及警告。
- 默认亲自执行入库或取出，以避免同时承担执行与监督职责。
- 直接提交跨仓调拨申请；调拨需求须通过留痕通知交由发出仓负责该 SKU 的员工提交。
允许：
- 查看所有品类、所有仓库的库存、申请、审批、价格、业务单据、库存流水、完整账册、利润报表和安全审计记录。
- 执行季度抽样复核，并在发现异常后执行该管理员当季全部记录的全量复核。
- 记录审计结论、异常和整改要求。
- 接收所有确认损坏、丢失或超收的调拨差异提醒，并查看完整证据、表决和处理历史。
- 接收管理员单据逾期、经理配置变更及管理员组织变更提醒。
- 批准或拒绝管理员权限恢复。
- 批准或拒绝临时代管的建立、调整和结束。
- 回退经理创建或停用管理员、改变品类分配的管理变更；回退不删除历史审计记录。
- 对经理增加或取消代理商身份提出复核异议，但不能直接回退该变更。
- 在复核异常尚未解决时拒绝恢复管理员权限。
禁止：
- 执行入库或取出。
- 审批普通库存操作申请。
- 修改库存余额、库存流水、账册或业务单据。
- 主动创建、停用用户或修改系统配置。
- 删除、隐藏或改写审计记录和警告。
允许：
- 查看职责品类范围内所有仓库的库存流水、进价、售价、业务单据、自动账册、库存估值和利润数据，并可按仓库筛选；总会计组可查看所有品类和所有仓库。
- 核对库存流水与业务单据，并标记已核对或存在差异。
- 添加不覆盖原始数据的会计说明。
- 生成和导出账册、库存估值、收入、成本及利润报表。
- 查看账册导出状态、外部接收确认和外部凭证号；外部账册不能借此修改内部分录。
- 针对错误记录提出会计调整申请，说明原因并附单据；申请由经理批准并提醒监察员，原记录永久保留。
- 对确认损坏或丢失的调拨差异发起改变库存价值的重大会计决定并参加表决；至少两人同意且经理批准后才能生成调整分录。
- 将数量、价格或单据差异提醒经理和监察员。
- 查看自己提出的调整申请及其处理状态。
禁止：
- 执行或审批入库、取出。
- 直接修改库存余额、原始流水、原始价格或已经生成的账册记录。
- 管理用户、身份、品类分配或系统配置。
- 删除或隐藏业务单据、审计记录和会计差异。
组织与表决规则：
- 每个品类会计组由三名会计组成，可负责一个或两个货物品类，但不得超过两个。
- 总会计组由三名总会计组成，对所有品类的财务工作负总责并拥有全品类财务权限。
- 普通会计操作可由一人执行，另外两名组员会收到弹窗提醒。
- 日常核对、添加说明、标记差异、生成未定稿报表和导出数据属于普通操作。
- 改变已入账金额的会计调整、关闭或重开会计期间、改变成本计算、库存估值、利润确认或外部账册映射规则，以及撤销或替换定稿财务报表属于重大决定。
- 重大决定至少需要组三人中的两人同意后才能执行。
- 任何未获三人一致同意的重大决定都必须永久保留议程、逐人意见和最终结果，并向经理与监察员发出警告。
- 已执行的重大决定只有在经理和监察员均认定有误时才可回退修改；回退不得删除原决定及审计历史。
允许：
- 查看分配给自己的可售货物名称、规格、可售总数量和销售状态。
- 提交销售取出申请，填写合法数量、售价并附销售合同、订单等业务单据。
- 查看、修改或撤回尚未被处理的自己的申请。
- 对获批销售取出申请尚未执行的全部或部分余量提交取消申请。
- 查看自己的申请状态、拒绝原因及已经完成的销售取出记录。
- 修改被拒绝的申请后重新提交审批。
禁止：
- 查看进价、批次成本、利润、完整账册、精确货位或其他代理商的数据。
- 执行或审批入库、取出；销售申请获批后由对应仓库员工执行实际取出。
- 创建全新货物品种或提交采购入库。
- 修改历史库存流水、售价记录或业务单据。
- 管理用户、权限、品类分配或系统配置。
身份管理规则：
- 代理商身份只能由经理依据代理合同增加或取消，合同必须是 PDF 或 Word 格式并永久留档。
- 增加或取消代理商身份时提醒监察员；监察员可以提出复核异议，但不能直接回退经理的决定。
- 首次部署通过受控启动配置创建一名经理和一名监察员，不提供公开默认账户或口令。
- 除上述受控启动账户外，新建人员账户在授权或治理审批生效后进入
PENDING_ACTIVATION，不能登录或访问业务数据；创建或批准响应不生成激活秘密。current issuer authorization 初始指向创建申请发起人，由该指定者通过独立领取命令现场生成 256 位随机一次性激活凭据，只保存哈希并只显示一次，再经线下或已核验的独立渠道交付。 - 一次性激活凭据有效 24 小时，累计第 5 次失败时立即吊销；消费、吊销或轮换后旧凭据立即永久失效。领取响应丢失时不得恢复或重放旧明文，只能按原治理申请轮换。领取人激活时自行设置长期密码，长期密码不得进入创建者界面、日志或审计载荷。
- current issuer authorization 指定者被停用、身份变化或不再有权创建目标身份时，其他人员不得直接冒领；只能由活动经理发起、不同自然人的活动监察员批准
ReassignActivationIssuer，批准后由该经理领取或轮换。批准过程不生成秘密，实际领取或轮换者必须进入签发与审计事实。 - 所有新人员账户必须提供创建后不可变且跨停用账户永久唯一的内部
naturalPersonId，同一自然人不得另建第二账户；它不是身份证号码。旧迁移账户缺失该值时不得猜测回填，并保持未分配、不能执行业务。 - 管理员只能创建、停用自己下辖的仓库员工。
- 经理增加、停用或调整会计分组时，必须获得监察员批准。
- 增加或停用经理时，由现有经理提出并由监察员批准。
- 增加或停用监察员时，由经理提出并由另一名现有监察员批准；首次监察员只通过受控启动配置创建。
- 不得停用最后一名有效经理或最后一名有效监察员。
- 会导致品类会计组或总会计组三人不足的停用或调组请求不能生效，必须先安排替代人员。
- 账户、身份和职责范围变更永久保留申请人、审批人、原因与时间，并立即撤销受影响账户的现有会话。
- 管理员、经理、监察员和会计必须绑定 TOTP 双因素认证后才能进入业务界面；仓库员工和代理商可以选择启用。
- TOTP 密钥加密保存，恢复码只保存哈希；身份变更、密码重置或管理员权限恢复会撤销全部旧会话，但不自动解除现有 TOTP 绑定。
- 高权限账户的第二因素恢复必须走与其身份匹配的双人恢复流程：管理员和会计由经理发起、监察员批准；经理由另一名经理发起、监察员批准；监察员由经理发起、另一名监察员批准。
- 第二因素恢复的发起人、批准人和目标必须互不相同；可用经理或监察员不足时严格阻断，首版不提供绕过双控的
break-glass路径。 - 高权限账户只通过密码验证后获得受限密码会话，只能读取账户状态、退出、绑定或确认 TOTP 及重新认证；完成 TOTP 后必须轮换为完整会话，才能进入业务界面。
- 管理员、经理、监察员和会计的浏览器会话闲置 15 分钟失效、绝对有效期 8 小时；仓库员工和代理商闲置 30 分钟失效、绝对有效期 12 小时，均由服务端强制执行。
- 高权限账户执行账户治理、管理员权限恢复、临时代管、仓库结构变更、重大会计决定或外部账册映射时，必须在最近 10 分钟内重新验证 TOTP。
- 登录、重新认证、身份变化、密码重置、TOTP 恢复和管理员权限恢复会轮换或撤销相应数据库会话；外部系统不得复用浏览器会话凭据。
- 服务账户是不可交互的机器身份，不属于仓库员工、管理员、经理、监察员、会计或代理商，不受“一账户一个人员身份”规则解释为可叠加身份。
- 服务账户不得登录业务界面，不使用人员密码或 TOTP，也不得复用任何人员会话、浏览器 Cookie 或 CSRF Token。
- 每个服务账户只获得明确的仓库子树、品类和接口动作范围；允许动作仅限获批的账册事件拉取、推送接收或接收确认，不得修改内部库存、流水、分录、映射或审计记录。
- 创建、授权、轮换或撤销服务账户必须由经理发起并由监察员批准；使用、鉴权失败、范围拒绝、轮换和撤销均进入追加式审计记录。
- 外部科目、仓库和币种映射仍属于重大会计决定，服务账户授权不能替代会计组三人中至少两人同意。
- 服务凭据保存在部署环境的密钥存储中，不得以明文进入数据库、源码、日志或审计载荷；凭据疑似泄露时必须能够立即撤销。
- 服务账户证书和 HMAC 密钥最长有效 30 天，新旧凭据最多重叠 12 小时；签名请求只接受服务器时间正负 2 分钟内的时间戳，并按事件 ID 拒绝重放。
旧用户迁移规则：
- 旧
admin和旧manager迁移为尚未分配品类的新管理员；旧viewer迁移为尚未分配上级管理员和负责货物的新仓库员工。 - 旧用户名、Argon2id 密码哈希及历史操作关联全部保留；首名新经理和监察员仍通过受控启动配置建立或指定。
- 未分配账户只能登录、修改密码、绑定 TOTP、查看账户状态和通知，不能查看、审批或操作任何货物，也不能创建下属账户或提交库存操作。
- 组织分配完成后才按身份和职责范围启用业务权限。
销售审批规则：
- 销售取出申请先提交给货物所属品类管理员；满一小时仍未批准或拒绝时，经理也可审批。
- 品类管理员权限暂停时，申请直接转交经理。
- 获批申请由负责该货物的仓库员工搭档组执行实际取出。
跨仓调拨规则：
- 只有发出仓内负责该 SKU 的仓库员工可以提交申请；管理员或经理提出的调拨需求必须形成与申请关联的留痕通知。
- 发出仓管理员批准数量和来源预留，接收仓管理员批准接收并指定目标叶级货位；两侧均批准后方可发运。
- 两侧必须由不同人员审批；同一管理员覆盖两端时，由经理承担接收侧第二审批。
- 发出仓管理员暂停时，发出侧审批直接转交经理；接收侧仍由接收仓管理员完成，以保持不同人员控制。
- 发出仓员工实际发运后，数量及原批次成本进入在途库存；接收仓员工实际收货后才增加目标货位余额。
- 发运和收货均可分批执行，并分别提交业务单据；实收与在途不一致时建立调拨差异，不自动调整库存或丢弃差额。
- 发出与接收两侧负责人分别提交差异说明和证据；短少继续保留在途，超收进入不可用的调拨隔离库存。
- 延迟到货继续按原调拨收货；退回发出仓须经双边确认并追加反向流水；确认损坏或丢失须经会计组三人至少两票及经理批准并提醒监察员。
- 来源识别错误或超收实物必须关联正确调拨，或另走正常入库审批；任何解决方式均不得覆盖原发运、收货、差异、流水或分录。