ACCESS CONTROL · RUNTIME
谁能使用 AI、能查什么、能看到哪些字段
合生和身份体系仍是最大权限边界；这里的配置只能继续收窄，不能让用户看到原本无权访问的门店。
动态角色目录
角色是权限模板。先创建角色，再配置资源策略和字段视图，最后分配给部门或特殊人员。
角色列表
| 角色 | 编码 | 状态 | 类型 | 更新时间 |
|---|
停用不会删除策略和历史记录，但使用该角色的账号会停止生效。
人员授权与有效权限预览
特殊人员可以允许登录、拒绝登录或覆盖部门角色；有到期时间和原因，不需要写死在代码里。
已配置特殊人员
| 用户 | 部门 | 效果 | 角色 | 有效期 | 原因 | 更新时间 |
|---|
部门默认角色
大多数员工只需继承部门规则；特殊情况再到“人员授权”单独覆盖。
当前可用角色
已配置部门
| 部门编号 | 角色 | 状态 | 原因 | 操作人 | 更新时间 |
|---|
角色与资源策略
数据资源配置门店范围和字段视图；AI 能力只配置允许或拒绝。没有明确允许的资源默认拒绝。
企业知识文档权限
公开文档对有“企业知识检索”能力的人可见；受限文档必须额外命中允许规则，且拒绝规则优先。
| 文档 | 状态 | 可见性 | 更新时间 |
|---|
接口字段目录
程序内置字段自动初始化；上游接口新增字段会登记为“待确认”，管理员确认业务名称、类型和敏感级别后才能开放。
| 业务字段 | 上游字段 | 类型 | 敏感级别 | 状态 | 来源 | 最近发现 |
|---|
字段视图
为不同角色组合可见字段。未勾选字段不会交给模型，也不会出现在回答里。
为什么要在 AI 服务再过滤？
原业务页面隐藏字段只保护页面，AI 调接口后仍可能取得全部返回值。字段视图在数据进入模型前过滤，才能避免模型看到不该看的字段。
运行期鉴权开启后，统计 Tool 会先校验资源和门店，再按这里的字段视图过滤数据。
特殊授权与最近变更
所有权限变更都记录操作人、目标、时间和变更前后快照，便于追查特殊人员为什么拥有权限。
| 时间 | 操作人 | 操作 | 目标 | 请求编号 |
|---|