# V1.2 角色权限与前端入口矩阵

> 生效基线：2026-10-25。本文是 V1.2 Task 1 的唯一角色、权限范围和入口基线。
> 角色权限由服务端认证主体推导；前端菜单只展示服务端已授予的 capability，不能扩大权限。

## 1. 范围与冲突裁决

- 普通红娘（`matchmaker`）只能访问本人有效分配的服务对象；红娘组长（`matchmaker_leader`）只能访问本人所属组织/组；`platform_admin`、`super_admin` 才能使用平台范围。
- 普通红娘和红娘组长均可查看工作台五类业务卡片并处理其授权范围内的审核、分配、确认、完成待办。这里的“分配”是业务待办/服务记录分配，不等于跨组织分配用户，也不等于代替用户 Like、Pass、活动意向、开启聊天或修改资料。
- 红娘不得查看身份证原始佐证、手机号完整值、咨询敏感备注；这些权限仍由专门权限和审计控制。
- V070、V071 是在本需求确认前形成的收敛迁移，删除了 V068/V069 所需的工作台操作权限。它们保留为历史迁移，不代表最终权限基线；干净数据库执行到最新版本后，必须由后续幂等迁移按本矩阵恢复已确认的最小权限。不得通过修改历史迁移文件解决冲突。

## 2. 数据范围

| 角色 | 服务对象/看板范围 | 组织要求 |
|---|---|---|
| `user` | 仅本人用户数据 | 无运营菜单 |
| `matchmaker` | 本人有效 `matchmaker_assignments` | 必须有有效分配；请求体 `userId`、`matchmakerId`、`teamId` 不改变范围 |
| `matchmaker_leader` | 本人所属组织内的有效分配及组内服务数据 | 无组织归属必须拒绝或进入明确异常态；不得把 NULL 组织合并为一组 |
| `platform_admin` | 全平台 | 后端仍执行敏感字段权限和审计 |
| `super_admin` | 全平台 | 全权限仅限系统治理，仍保留审计 |
| `reviewer` | 被授权的资料/资格审核数据 | 不得读取咨询正文、私人聊天 |
| `activity_manager` | 活动业务数据 | 不得读取与活动无关的用户敏感数据 |
| `risk_operator` | 风控、举报及其必要关联数据 | 不得浏览全量婚恋档案 |
| `organization_admin` | 本组织被授权的运营数据 | 不得跨组织；不得隐式获得平台范围 |
| `counselor` | 明确分配给本人的咨询服务 | 只能 Assigned Service |
| `counseling_manager` | 咨询服务管理范围 | 可按专门权限查看敏感咨询备注并留痕 |
| `service_station_operator` | 已授权服务站的现场预约/任务 | 不得浏览全用户库 |
| `content_editor` | 内容、课堂、反诈文章 | 零用户婚恋数据权限 |
| `data_viewer` | 已授权的统计读模型 | 不得进入用户详情和运营写操作 |

## 3. 工作台入口与操作

六项指标固定为：`pending_reviews`、`matchmaker_todos`、`counseling_todos`、`station_appointments`、`effective_matches`、`activity_registrations`。其中前五类业务卡片（资料审核/红娘服务/咨询服务/服务站预约/有效匹配）和活动报名卡片均使用同一服务端 scope builder；聚合与详情不得接受替代主体或组织参数。

| 角色 | 可见入口 | 允许的工作台操作 | 明确禁止 |
|---|---|---|---|
| `matchmaker` | 红娘工作台；本人范围内六卡片 | `review.process`、`local_eligibility.review`、`counseling.service.assign/process`、`counseling.note.create`、`service_appointment.assign/confirm/complete`、`activity.review_registration`；红娘待办可 `matchmaker.service` | `matchmaker.assign`、跨组织/他人对象、`counseling.note.view`、资格原始佐证、代用户决策 |
| `matchmaker_leader` | 红娘工作台；本组织六卡片；已授权组内管理入口 | 上述工作台操作；另可按明确授权执行 `matchmaker.assign`/`matchmaker.team.assign`，仅限本组织 | 跨组织分配/建档、全平台统计、敏感原始佐证、咨询备注全文、代用户决策 |
| `platform_admin` | 全部运营菜单与工作台 | 平台范围内的审核、分配、确认、完成及角色/组织管理 | 越过审计或绕过状态门禁 |
| `super_admin` | 全部系统菜单与工作台 | 同 `platform_admin`，另负责系统治理 | 仍不得绕过审计 |
| `reviewer` | 资料审核 | 资料审核/本地资格审核 | 红娘、咨询、预约、活动管理 |
| `activity_manager` | 公益活动 | 活动审核、报名、签到及活动流程 | 咨询正文、红娘分配 |
| `risk_operator` | 风控/举报 | 风险处置及必要审核 | 全量用户浏览、红娘服务操作 |
| `organization_admin` | 本组织授权运营入口 | 本组织内经授予的管理操作 | 跨组织和平台范围 |
| `counselor` | 我的咨询服务 | 被分配咨询的处理、摘要记录 | 分配他人服务、查看未分配服务、红娘数据 |
| `counseling_manager` | 咨询管理 | 咨询分配、处理、必要备注查看 | 红娘/活动/预约无关操作 |
| `service_station_operator` | 我的服务站预约 | 本站预约确认、完成 | 全用户库、咨询正文、红娘分配 |
| `content_editor` | 内容管理 | 内容创建、编辑、发布、下架 | 任何用户婚恋数据和工作台 |
| `data_viewer` | 统计只读入口（如已授权） | 统计读取 | 所有业务写操作和用户详情 |

## 4. 前端入口规则

1. 菜单和卡片由服务端 capability 显示；`403`、真实 `0`、查询错误必须分别呈现。
2. 无 capability 的入口不显示，也不能通过直接 URL 进入；后端仍必须再次鉴权。
3. 管理员可查看工作台统计，但独立“公益红娘/红娘服务”菜单是否显示仍按具体权限，不因统计权限自动出现。
4. 卡片点击详情只传分页和时间筛选；不得传入或信任 `userId`、`matchmakerId`、`teamId`、角色或 scope 字段。

## 5. 敏感边界与不变量

- `counseling.note.view`、`local_eligibility.evidence.view`、完整手机号和身份证原始佐证不因工作台权限自动授予。
- 红娘主体调用用户 Like/Pass、活动意向、开启聊天、修改择偶条件、同意公开资料等端点必须被认证层拒绝。
- 未发布资料 revision 不得进入展示、推荐、匹配、红娘服务或统计。
- 任何越权拒绝、敏感访问和角色/组织变更都必须写审计事件。