模块六：用户与权限

用户与权限模块负责管理员账号、角色、数据范围、密码重置和操作日志。所有登录角色都能进入“我的账户”修改自己的用户名和密码；只有获得相应权限的账号才能管理其他用户。

四个内置角色

角色	默认职责
超级管理员	管理全校数据、用户、角色、系统设置和部署
年级管理员	管理授权年级的考试、周测、班级、设备和下级用户
班级管理员	管理授权班级的周测、设备并查看适用考试
只读用户	按授权范围预览和导出，不执行业务修改

还可以创建自定义角色，按模块设置不可访问、仅查看或可管理。数据库重置、初始化、角色管理、部署和超级管理员操作仍只保留给超级管理员。

添加管理员

新建用户需要填写：

• 登录用户名；
• 显示名称；
• 初始密码，至少 8 位；
• 角色；
• 全校、年级或额外指定班级范围。

用户名使用 3 至 40 位字母、数字、点、横线或下划线。日常显示可使用中文显示名称。

批量创建班级管理员

V2.5.4 支持一班一账号：

1. 点击“批量添加班级管理员”；
2. 设置用户名统一前缀；
3. 设置初始密码；
4. 使用班级选择器勾选目标班级；
5. 确认创建数量；
6. 保存创建结果并分别交付账号。

每个账号只获得对应班级作用域。年级管理员只能在自己的授权年级内批量创建，服务端会拒绝越权范围。

班级管理员首次登录必须同时设置自己的新用户名和新密码。两项凭据会一次性原子保存，成功后旧会话立即失效。

密码重置和找回

忘记密码的账号	可处理人员
班级管理员	所属年级管理员或超级管理员
年级管理员	超级管理员
超级管理员	其他超级管理员，或使用首次初始化时自动生成的恢复密钥

管理员重置密码时可自动生成 14 位临时密码，也可手动设置。临时密码只展示一次，关闭前必须安全交付；重置后旧会话立即失效，下次登录强制更新凭据。

超级管理员恢复密钥由项目在首次初始化后自动生成，明文只展示一次，数据库只保存加盐哈希。应保存到可信密码管理器或受控离线介质，不要交给普通管理员。

我的账户

后台“更多 → 我的账户”允许任何已登录角色：

• 修改自己的用户名；
• 修改自己的密码；
• 首次登录时同时设置新用户名和密码；
• 查看当前角色。

修改凭据后需要使用新信息重新登录。

角色权限

创建自定义角色时，先写清角色职责，再为各模块选择访问级别。不要为了省事授予全部权限，数据范围也不能替代模块权限。

例如，一名高一年级只读教务可以配置：

角色：只读或自定义只读角色
年级范围：高一
班级范围：按需
模块权限：只读大型考试、周测和学校结构

操作日志

拥有审计权限的管理员可以查看操作时间、用户名、动作和资源 ID。出现误删、密码重置、权限变化或部署操作时，应先查日志，再决定是否恢复数据。