<模块名称> 权限控制方案

操作	前端入口	权限字符	后端接口	后端校验	数据权限	验收
新增记录	新增按钮	`<module>:<entity>:add`	`<POST /api/entity>`	权限注解或统一鉴权	通常无数据范围	无权限账号看不到按钮且直接请求失败
编辑记录	编辑按钮	`<module>:<entity>:edit`	`<PUT /api/entity/{id}>`	权限校验 + 状态校验	创建人/负责人/授权范围	越权账号返回 403 或业务拒绝
分配/转交	分配按钮	`<module>:<entity>:assign`	`<POST /api/entity/{id}/assign>`	权限校验	管理范围或当前授权范围	未授权角色无法分配给他人
状态流转	状态按钮	`<module>:<entity>:transition`	`<POST /api/entity/{id}/transition>`	权限校验 + 状态机校验	当前授权范围	非法流转失败且状态不变
删除/作废	删除或作废按钮	`<module>:<entity>:delete`	`<DELETE /api/entity/{id}>`	权限校验 + 风险校验	管理范围	非授权角色返回 403 或业务拒绝
查看审计	审计页签	`<module>:<entity>:audit`	`<GET /api/entity/{id}/audit>`	权限校验	当前授权范围	无权限不可见且接口拒绝
统计看板	看板菜单	`<module>:<entity>:dashboard`	`<GET /api/entity/dashboard>`	权限校验	数据范围过滤	不同角色返回授权范围内统计