# 权限设计 本文档描述后端化后的目标权限模型。当前版本登录认证已接入后端，但角色和部分页面级过滤仍主要在前端执行，不能作为生产安全边界；后端化后必须由服务端统一鉴权和授权。 ## 已确定规则 - 超级管理员拥有全权限，可以查看和修改系统内任何数据。 - 超级管理员默认属于 `admin` 部门，但查询、管理和授权不受部门限制。 - 管理员只能查看、编辑和删除本部门报告。 - 医生默认只能查看、编辑和删除本人报告。 - 医生完成报告后仍允许修改，也允许删除本人已完成报告。 - 完成报告后的每次修改都需要增加修订版本号，方便医疗文书追踪。 - 模板按部门授权。 - 管理员可以修改本部门模板，也可以使用被授权模板。 - 医生不可以直接修改部门模板，但可以复制/新建自己的模板并修改。 - 只有超级管理员能创建或授权管理员。 - 一个部门只能有一个管理员。 - 不设置患者维度权限。 - 部门之间不存在上级/下级关系。 - 不需要临时授权或会诊授权。 - 不允许同一用户属于多个部门。 - AI 代理只能接收当前报告内容作为上下文，不能读取跨部门报告。 - 报告导出不需要水印、导出原因、审批或专门导出审计。 - 前端菜单隐藏只是体验优化，所有权限必须在后端 API 层强校验。 ## 角色定义 | 角色 | 代码建议 | 权限定位 | | --- | --- | --- | | 超级管理员 | `super` | 系统最高权限，跨部门、跨模板、跨用户管理。 | | 管理员 | `admin` | 部门级管理者，只管理本部门业务数据；每个部门最多一个管理员。 | | 医生 | `doctor` 或沿用 `user` | 普通报告创建者，主要管理本人报告，可复制或新建个人模板。 | 当前前端代码使用 `user` 表示医生。后端化时可以继续沿用 `user`，也可以迁移为更清晰的 `doctor`。如果迁移，需要同步前端类型、接口返回和历史数据。 ## 数据边界 后端数据至少需要以下边界字段： - `tenant_id`：医院或部署实例。单医院也建议预留。 - `department_id`：科室。 - `user_id`：用户。 - `role`：用户角色。 报告、模板、用户、文件、操作日志都应带上 `tenant_id`。报告必须带 `department_id`。模板可以带拥有部门，也可以通过授权表关联部门。 组织规则： - 每个用户只能属于一个部门。 - 超级管理员默认部门为 `admin`。 - 部门没有上下级层级。 - 一个部门最多一个管理员，后端创建/修改管理员时必须校验唯一性。 ## 报告权限 ### 查看报告 | 角色 | 规则 | | --- | --- | | 超级管理员 | 可查看所有报告。 | | 管理员 | 只能查看本部门报告。 | | 医生 | 只能查看本人报告。 | 建议后端查询规则： ```text super: WHERE tenant_id = current.tenant_id admin: WHERE tenant_id = current.tenant_id AND department_id = current.department_id doctor: WHERE tenant_id = current.tenant_id AND author_id = current.user_id ``` ### 新建报告 | 角色 | 规则 | | --- | --- | | 超级管理员 | 可为任意部门创建报告，默认部门为 `admin`，也可在表单中选择目标部门。 | | 管理员 | 可在本部门创建报告。 | | 医生 | 可为自己创建报告，部门取当前用户部门。 | 建议新建报告时由后端写入 `author_id`、`department_id`、`tenant_id`，不要完全信任前端传入。 ### 编辑报告 | 角色 | 规则 | | --- | --- | | 超级管理员 | 可编辑任何报告。 | | 管理员 | 可编辑本部门报告。 | | 医生 | 可编辑本人报告，包括已完成报告。 | 完成报告后仍允许修改。后端必须： - 每次保存创建 `report_histories` 记录。 - 已完成报告每次修改递增修订版本号。 - 记录修改人、修改时间、修改动作和旧版本内容或旧版本引用。 ### 删除报告 | 角色 | 规则 | | --- | --- | | 超级管理员 | 可删除任何报告。 | | 管理员 | 可删除本部门报告，包括已完成报告。 | | 医生 | 可删除本人报告，包括已完成报告。 | 实现建议： - 后端可以先做软删除，保留 `deleted_at`、`deleted_by`，避免误删后无法恢复。 - 如果未来接入正式病历归档流程，再考虑把“删除”改为“作废/归档”。 ### 导出报告 | 角色 | 规则 | | --- | --- | | 超级管理员 | 可导出所有报告。 | | 管理员 | 可导出本部门报告。 | | 医生 | 可导出本人报告。 | 当前确定：报告导出不需要水印、导出原因、审批或专门导出审计。 ## 模板权限 已确定：模板按部门授权。 建议数据模型： - `templates`：模板主体。 - `departments`：部门。 - `template_department_permissions`：模板与部门授权关系。 - `user_templates` 或在 `templates` 中增加 `owner_user_id`：医生复制/新建的个人模板。 建议权限规则： | 角色 | 查看/使用模板 | 管理模板 | | --- | --- | --- | | 超级管理员 | 全部模板 | 全部模板，可授权给部门。 | | 管理员 | 本部门模板和被授权模板 | 可修改本部门模板，可使用被授权模板。 | | 医生 | 本部门被授权模板、自己的个人模板 | 不可修改部门模板；可复制/新建并修改自己的个人模板。 | 新建报告时，后端必须校验当前用户是否有权使用该模板。 模板授权粒度建议： - 部门授权模板用于“部门可见/可使用”。 - 模板归属部门用于判断管理员是否可以管理。 - 医生个人模板只归属创建医生本人，不自动成为部门模板。 ## 用户权限 | 角色 | 用户管理权限 | | --- | --- | | 超级管理员 | 创建、编辑、禁用、删除所有用户，分配部门和角色，创建或授权管理员。 | | 管理员 | 管理本部门医生；不能创建管理员；不能跨部门管理用户。 | | 医生 | 只能查看和修改自己的基础资料，密码修改走单独接口。 | 管理员规则： - 只有超级管理员能创建或授权管理员。 - 一个部门只能有一个管理员。 - 管理员不能创建超级管理员。 ## 系统设置权限 | 设置项 | 超级管理员 | 管理员 | 医生 | | --- | --- | --- | --- | | AI Provider 和密钥 | 可管理 | 不可管理 | 不可管理 | | 讯飞语音密钥 | 可管理 | 不可管理 | 不可管理 | | 全局抽帧策略 | 可管理 | 不可管理 | 不可管理 | | 部门默认模板 | 可管理全部部门 | 可管理本部门 | 不可管理 | | 个人默认模板 | 可配置自己默认值 | 可配置自己默认值 | 可配置自己默认值 | 建议把设置拆为： - 全局设置：超级管理员维护。 - 部门设置：超级管理员或本部门管理员维护。 - 用户偏好：每个用户自己维护。 ## 文件权限 文件包括签名、模板图片、报告图片、视频、关键帧、导出文件。 建议规则： - 签名文件：用户本人、本部门管理员、超级管理员可访问。 - 报告相关文件：继承报告权限。 - 模板图片：继承模板权限。 - 视频文件：继承报告权限，且建议限制下载或设置过期访问 URL。 - 导出文件：继承报告导出权限；不要求专门导出审计。 ## 操作记录与历史 虽然报告导出不需要专门审计，但以下写操作仍建议记录基础操作日志，便于排查和追踪： - 登录成功/失败。 - 新建、保存、完成、修改已完成报告。 - 删除报告。 - 新建、修改、删除模板。 - 模板部门授权变更。 - 新建、禁用、删除、改角色用户。 - 修改 AI/语音密钥。 - 修改系统设置。 报告历史是业务必需项： - 报告每次保存保留历史版本。 - 已完成报告每次修改递增修订版本号。 - 历史记录应包含修改人、修改时间、修改动作、旧内容或旧内容引用。 日志建议包含： - `tenant_id` - `actor_user_id` - `actor_role` - `action` - `target_type` - `target_id` - `department_id` - `ip` - `user_agent` - `created_at` - `metadata` 敏感病历正文和完整密钥不应写入普通日志；报告正文版本应放在报告历史表或对象存储中。 ## AI 权限 AI 代理只能接收当前报告内容作为上下文： - 不允许读取跨部门报告。 - 不允许自动检索其他报告作为上下文。 - 不需要患者维度权限。 - AI 请求由后端代理发出，前端不接触真实 API Key。 如果用户在当前报告中选择了图片、关键帧或正文片段，这些内容必须先通过当前报告权限校验。 ## API 权限落点 后端每个接口都要做权限校验。建议先在服务层写统一 guard/policy： - `canViewReport(user, report)` - `canCreateReport(user, departmentId)` - `canEditReport(user, report)` - `canDeleteReport(user, report)` - `canExportReport(user, report)` - `canUseTemplate(user, template)` - `canManageTemplate(user, template)` - `canCreatePersonalTemplate(user)` - `canManageUser(actor, targetUser)` - `canCreateAdmin(actor, departmentId)` - `canManageSettings(user, scope, departmentId?)` 列表接口不能只在前端过滤，必须在数据库查询条件中限制可见范围。 ## 已关闭问题 以下问题已经确认，不再作为阻塞项： | 问题 | 结论 | | --- | --- | | 管理员是否可以编辑本部门医生创建的报告？ | 可以。 | | 管理员是否可以删除本部门已完成报告？ | 可以。 | | 医生是否可以删除本人已完成报告？ | 可以。 | | 管理员是否可以创建其他管理员？ | 不可以，只有超级管理员能创建/授权管理员。 | | 一个部门是否只能有一个管理员？ | 是。 | | 管理员是否可以管理本部门模板内容？ | 可以修改本部门模板，也可以使用被授权模板。 | | 模板授权粒度如何处理？ | 部门模板按部门授权；医生不可改部门模板，但可复制/新建个人模板。 | | 超级管理员是否属于某个部门？ | 默认属于 `admin` 部门。 | | 是否需要患者维度权限？ | 不需要。 | | 报告完成后修改是否需要修订版本号？ | 需要。 | | 报告导出是否需要水印、原因、审批或专门审计？ | 不需要。 | | AI 能否读取跨部门报告作为上下文？ | 不能，只能接收当前报告内容。 | | 部门是否有上下级关系？ | 没有。 | | 是否需要临时授权或会诊授权？ | 不需要。 | | 是否允许同一用户属于多个部门？ | 不允许。 | ## 后续实现注意 - 数据库应对“一个部门一个管理员”设置唯一约束或事务校验。 - 报告列表、模板列表、用户列表必须在 SQL 查询层过滤权限。 - 医生个人模板和部门模板需要在数据模型上区分。 - 已完成报告的修改需要版本号和历史记录，不应只覆盖最新内容。 - 删除报告建议先做软删除，后续如有病历归档要求再调整为作废流程。