矩云财务 · 运营后台
谁在用、谁有什么权限、都干了什么
本页五块各自独立鉴权：用户与权限、组织与角色、实时在线看板、系统自检只对所有者开放；
审计流水对拥有 audit 查看权的人开放。
看不见的那一块不会发请求，也不会被本页当作安全措施 ——
真正的门禁在服务端（对无权者一律 403）。
当前账号不是所有者，看不到用户与权限的管理面板。
需要改权限请联系所有者 —— 这一块的门禁在服务端，不在这里。
需要改权限请联系所有者 —— 这一块的门禁在服务端，不在这里。
账号
新建的账号默认没有任何权限（fail-closed），建完在下表逐格勾选。
权限矩阵
勾了任一写操作会自动补上「查看」（能改的人一定能看）。删除意味着能从整键里移走记录，单独控制。
当前账号不是所有者，看不到组织与角色。
谁能进哪个部门、谁有什么角色，只由所有者决定 —— 门禁在服务端。
谁能进哪个部门、谁有什么角色，只由所有者决定 —— 门禁在服务端。
组织架构（部门）
部门可以有上级部门，形成一棵树（如 财务部 → 资金组）。
部门不会自动授予任何人任何权限 —— 它只是归属，授权要走下面的「按角色 / 按部门授权」。
| 部门 | 上级 | 人数 | 操作 |
|---|
「人数」按当前归属统计（含下级部门）。部门为空时不能按它授权 —— 那时授权会明确报错，而不是静默地什么都不做。
审批节点（谁可以复核）
默认是谁有「审核」权谁就能批。在这里指定之后，某个动作就只由名单里的人复核。
两种指定方式：按角色（常态，角色里有什么人就是什么人）或点名到人
（过度期用：那个岗位还空着，先让在职的某个人顶上）。
🔴 配了但算不出在岗的人时不会锁死 —— 会自动退回「谁有审核权谁能批」， 并在下面标出来。这是有意的：宁可照旧规矩跑，也不会让资金动作谁都批不了。
🔴 配了但算不出在岗的人时不会锁死 —— 会自动退回「谁有审核权谁能批」， 并在下面标出来。这是有意的：宁可照旧规矩跑，也不会让资金动作谁都批不了。
| 动作 | 范围 | 谁 | 现在能展开出谁 | 操作 |
|---|
角色（一组权限的打包）
角色是模板：套用时会把它的档位逐格写进那个人的权限表。
之后改角色不会回头改已套用的人（无隐式联动）—— 要改就再套一次，那次动作会进审计。
| 角色 | 权限概况 | 已套用 | 操作 |
|---|
授权
🔴 点「预览」看清会改什么，再点「确认落地」。
预览与落地走同一段代码，所以预览里看到的和实际写进去的必然一致。
任何会拿走已有权限的改动，都会单独列出来并要求再确认一次。
⚠️ 部门授权会把权限发给那个部门里的每一个人。预览里会如实报出命中几个部门、几个人。
只动你点名的这一档，其余档保持原值 —— 例如「撤回删除」不会顺手把「修改」也拿走。
「查看」这一档撤不掉：服务端有一条不变量「能改的人一定能看」，撤了会被自动补回来。
「查看」这一档撤不掉：服务端有一条不变量「能改的人一定能看」，撤了会被自动补回来。
数据范围（按公司）
「能不能动这个模块」在上一张表里配；这里配「在这个模块里看得见哪些」。
两件事互不替代：有查看权但公司不在范围内，那些记录就是看不见。
第零步：有哪些「账目归属」（标签）
这里建的只是标签（如「北京矩云」「香港毕至」），用途只有一个：
给下面的账户归堆。它不是组织结构 —— 谁向谁汇报、谁在哪个部门，
在上面的「组织架构」里配，两件事互不相干。
| 标签 |
|---|
第一步：哪个账户属于哪个标签
⚠️ 账本里的账户没有公司字段 —— 归属只存在于名字里，机器不猜名字。
所以这一步必须由你逐个指定。交易沿它挂的账户继承归属。
没指定的账户，其交易对受限账号默认不可见（宁可少给，不可错给）。
没指定的账户，其交易对受限账号默认不可见（宁可少给，不可错给）。
| 账户 | 余额 | 归属标签 |
|---|
第二步：谁能看到哪些公司
「不限」是默认 —— 没配过的人能看到全部公司。
只有你在这里限定之后，那个人才受影响。
| 账号 | 可见范围 | 操作 |
|---|
本版只隔离「资产账户」与「账单明细」两个模块 ——
它们挂在账户上，账户定了公司就能定下来。
⚠️ 保存记录不会被删掉：受限账号写回时，服务端会把他看不见的记录原样保留 （否则他改一笔就会把没看见的整批删掉——而那不会报错）。 他看得见且自己删掉的，仍然会真的删掉。
⚠️ 保存记录不会被删掉：受限账号写回时，服务端会把他看不见的记录原样保留 （否则他改一笔就会把没看见的整批删掉——而那不会报错）。 他看得见且自己删掉的，仍然会真的删掉。
当前账号不是所有者，看不到实时在线看板。
这一块含「谁在哪、什么 IP、什么设备」，只对所有者开放。
这一块含「谁在哪、什么 IP、什么设备」，只对所有者开放。
现在谁在用
| 账号 | 角色 | 状态 | 最后活跃 | 会话数 | 最近 IP | 最近设备 |
|---|
「在线」= 最近活动时间落在窗口内（阈值由服务端随数据下发，本页不写死分钟数）。
从未打过点的会话不算在线；已过期的会话也不算。
当前账号没有审计查看权，看不到审计流水。
审计流水
读取本身也会被记一笔（
audit.read）—— 谁看了哪段审计，本身就是证据。| 时间 | 操作人 | 动作 | 类型 | 记录 ID | 快照 |
|---|
当前账号没有审计查看权，看不到审批记录。
复核痕迹含「谁提的、谁批的、批了什么、金额多少」，与审计流水同一道门。
复核痕迹含「谁提的、谁批的、批了什么、金额多少」，与审计流水同一道门。
审批记录
一条申请一行。点「明细」展开：业务对象、写入内容、以及该次审批在审计链里的**变更前 / 变更后**。
| 发起时间 | 动作 | 审了什么 | 发起人 | 状态 | 复核人 | 裁决时间 | 结果 / 失败原因 |
|---|
「待审」= 已提交、还没裁决；「已批准并执行」= 批准后**同一个事务**里写进了账目；
「已批准但执行失败」= 批了但写入没成功（
apply_result 里是原始报错，必须人工处理）。
发起人与复核人**不可能是同一人**（服务端铁律，owner 也不例外）。
当前账号不是所有者，看不到系统自检。
它含会话数、登录锁定名单、落盘路径与账套不符项明细，只对所有者开放 —— 门禁在服务端。
它含会话数、登录锁定名单、落盘路径与账套不符项明细，只对所有者开放 —— 门禁在服务端。
系统自检
| 检查项 | 状态 | 结果 |
|---|
本页只读：不改任何数据、不触发任何作业。它是「把散在四处的健康信号收进一个视图」——
审计哈希链、授权表自洽、加密备份最近一次、账套的 41 条借贷配对不变量。
🔴 「数据不足」不等于「通过」：账套里还没有任何业务数据时，不变量平凡成立， 这里会如实标成「数据不足」而不是打勾。
🔴 「数据不足」不等于「通过」：账套里还没有任何业务数据时，不变量平凡成立， 这里会如实标成「数据不足」而不是打勾。